Nie všetko, čo vidíte, je aj skutočné – a v prípade Android notifikácií to platí dvojnásobne. Nový výskum ukázal, že tlačidlo „Open Link“ (Otvor odkaz), ktoré sa často objavuje v notifikáciách rôznych aplikácií, môže otvárať úplne inú stránku, než akú si myslíte, že vidíte. Informuje o tom Io-no.com.
Celý trik spočíva v použití špeciálnych znakov zo sady Unicode – napríklad neviditeľných medzier (U+200B), ktoré sú síce prítomné v texte, ale bežné oko ich nezaregistruje. Práve vďaka nim dokáže útočník zmanipulovať URL adresu tak, aby vyzerala ako napríklad amazon.com, ale v skutočnosti sa otvorí stránka zon.com alebo úplne iná podvodná doména.
Android totiž zobrazuje odkaz inak, než ho reálne spracováva. Aplikácia vám teda môže v notifikácii ukázať niečo dôveryhodné, no samotné kliknutie na tlačidlo „Open Link“ vás presmeruje na podvod.
Ktoré aplikácie sú zraniteľné?
Problém sa netýka iba jednej aplikácie. Výskum odhalil, že rôzne znaky manipulujú s URL odlišne v rôznych appkách. Medzi testované patrili napríklad:
- Telegram
- Discord
- Slack
Každá z nich reagovala na konkrétne Unicode znaky inak, ale vo viacerých prípadoch sa podarilo presmerovať používateľa mimo pôvodne zamýšľaný cieľ. Okrem falošných webov hrozí aj spustenie tzv. deep linkov – špeciálnych odkazov, ktoré môžu:
- Otvoriť konkrétnu funkciu v aplikácii (napr. automaticky napísať správu v chat appke)
- Zavolať na konkrétne číslo
- Spustiť aplikáciu s prednastavenou akciou bez vášho súhlasu
Niektoré aplikácie ani nevyžadujú potvrdenie pred spustením deep linku, čo znamená, že stačí jeden dotyk – a je neskoro. Útočníci navyše môžu celý proces maskovať používaním skracovačov odkazov, ako napríklad TinyURL. Tým pádom je menšia pravdepodobnosť, že užívateľ si všimne nezrovnalosti v odkaze na ktorých kliká.
Ako sa brániť?
- Nikdy neverte iba tomu, čo vidíte v notifikácii. Zobrazený text nemusí byť skutočným odkazom.
- Radšej otvorte aplikáciu priamo a vyhľadajte odkaz sami, než kliknete na tlačidlo v notifikácii.
- Android vývojári by mali filtrovať neviditeľné znaky a jasne označovať, čo sa otvorí.
