Entenda como um hacker russo conseguiu burlar o sistema de In App Purchases do iOS [atualizado]

Hoje pela manhã uma notícia preocupante começou a se alastrar por alguns sites: um hacker russo teria conseguido burlar o sistema de compras dentro de apps (In App Purchases) do iOS, permitindo que usuários adquiram itens e/ou façam upgrades dentro de aplicativos e jogos sem pagar nada por isso — e o pior: sem nem mesmo a necessidade de jailbreak.

Esse tipo de coisa tem um nome bastante conhecido no mundo digital: pirataria.

Em pouco tempo a coisa ficou bastante “quente” por aí, mas infelizmente a maioria dos usuários só quer mesmo saber de “aproveitar a mamata” — afinal de contas, não fossem esses, a descoberta do hacker nem teria tanta importância. O problema é que esse indivíduo encontrou uma brecha no sistema desenvolvido pela Apple e, pior, poderia estar se usando isso para prejudicar os próprios usuários de sua solução sem que eles soubessem.

Agora pela tarde, o tal hacker russo foi identificado: seu nome é Alexey V. Borodin, e ele falou com ambos os sites TNW e Macworld sobre o assunto.

A solução desenvolvida por Borodin não requer jailbreak pois só requeria que o usuário instalasse perfis com certificados falsos em seu aparelho e apontassem sua conexão para um servidor de DNS (Domain Name System) remoto que ficava responsável por então enganar o sistema de In App Purchase do iOS. Assim, quando a pessoa tocasse para comprar algum novo item, em vez de a informação chegar até a Apple ela era desviada no meio do caminho e uma confirmação falsa era então enviada de volta ao app, o qual liberava o conteúdo para o usuário. Trata-se de um clássico ataque do tipo “homem no meio”.

A boa notícia é que a brecha não afeta todo e qualquer app, e sim somente os que não seguem as diretrizes da Apple para verificação de recibos. A má é que esses perfis e certificados abrem dados do usuário para o hacker, como seu ID da Apple e senha (mas não o número de cartão de crédito, pelo menos), o que poderia permitir um uso malicioso deles. Borodin garante que essa não é a sua intenção, e de qualquer forma quem opta por seguir esse rumo ilegal tem que se responsabilizar por esse tipo de risco. Segundo o hacker, só da manhã de hoje para cá mais de 30 mil transações passaram pelo seu servidor, o que até o derrubou múltiplas vezes.

Borodin afirma que depois da disseminação da coisa ele já abriu mão do site que divulgava a brecha e não quer mais envolvimento com o caso para não correr riscos. Irônico, ele até brincou dizendo que está esperando o chamado da Apple para contratá-lo — heh.

Não tenho dúvidas de que a Apple deve estar estudando e trabalhando em medidas para evitar esse tipo de coisa no futuro, nem que seja necessário um update do próprio iOS.

Atualização

Natalie Harrison, porta-voz da Apple, falou ao The Loop:

A segurança da App Store é incrivelmente importante para nós e para a comunidade de desenvolvedores. Nós levamos relatos de atividades fraudulentas com muita seriedade e estamos investigando [esse caso].

Taí.