Touch-ID-Betrug: Apple entfernt zwei iOS-Apps

[Martin Wendel]

Touch-ID-Betrug: Apple entfernt zwei iOS-Apps

In den vergangenen Tagen ist eine offenbar neue Betrugsmasche im App Store aufgeflogen. Die Entwickler machten sich dabei die fast nahtlosen Bezahlvorgänge über Touch ID zu nutzen. Zwei solcher Programme ("Fitness Balance" & "Calories Tracker"), die womöglich vom selben Entwickler stammen, wurden bekannt. Eine der betrügerischen Apps verrechnete den Nutzern durch einen Trick einen In-App-Kauf über 99 US-Dollar. Apple hat reagiert und beide Apps aus dem App Store geworfen.
Apps tarnen sich als Fitness-Tracker


Die beiden Apps tarnen sich als Fitness- bzw. Gesundheitstracker. Nach dem Start der App wird ein 10-sekündiger Touch-ID-Scan verlangt, um "den persönlichen Kalorienzähler und Ernährungs-Empfehlungen anzuzeigen". Tatsächlich verbirgt sich dahinter eine Betrugsmasche. Denn während des 10-sekündigen Countdowns öffnet sich ein Popup für einen In-App-Kauf, der durch den bereits aufgelegten Finger innerhalb von Sekundenbruchteilen bestätigt wird.

Somit bleibt keine Zeit, den Kaufvorgang abzubrechen. Man müsste den Kauf im Nachhinein über Apple stornieren lassen. Wie es solche Apps überhaupt durch die App-Store-Prüfung schaffen konnten, ist nicht bekannt. Es bleibt zu hoffen, dass Apple diese Betrugsmasche künftig von vorne herein unterbindet.

Scam iOS apps has been found on Apple App Store tricking users to pay over $100

Apps ask for fingerprint right at the moment when paying pop-up shows, which is accepted by user fingerprint.https://t.co/7WwT6bhsLF pic.twitter.com/BYZvd7p0VD

— Lukas Stefanko (@LukasStefanko) 3. Dezember 2018​

Via The Verge

 

[uhansen]

Danke für den Artikel und den Link! Vielleicht sollte man zur Warnung noch die Namen nennen: Die Apps nannten sich: “Fitness Balance app” und “Calories Tracker app” - und sie hatten 4,3 Sterne und Super-Bewertungen, die vermutlich gefälscht waren.

 

[saw]

In solchen Fällen, ist die neue Bestätigung bei den Face-ID Geräten schon besser,
auch wenn ich die mega lästig finde, gerade am iPad die Seitentaste 2x drücken,
dies kann ja erst abgefragt werden nachdem der Kaufdialog erschienen ist.

Wobei auch bei Touch-ID könnte Apple es so machen, das der Finger erst nach dem Kaufdialog aufgelegt werden dürfte,
wenn der Finger schon aufliegt, müsste ja nur eine Meldung kommen, Finger heben und neu auflegen für deinen InAppKauf, mal schauen ob die dies ändern ^^

 

[Porlox]

Im Beitrag steht es ja, dass der Käufer jeden Kauf bei Rechnungslegung stornieren kann und doch wissen es wohl zu wenige weshalb sich der Betrugsaufwand wohl lohnt. Als ich gerade den Beitrag laß, erzählte ich meinen Chef (iPhone-User) davon und auch er wusste nicht, dass man Einkäufe stornieren kann. Aber ja, wie konnte die App durch die Apple-Prüfung kommen? Schließlich - so heißt es im Beitrag - soll sich die zweifelhafte Aktion ja bereits nach dem Start zeigen. Da sollte selbst ein Prüfer noch mit Aufmerksamkeit dabei sein.

 

[Verlon]

Aber ja, wie konnte die App durch die Apple-Prüfung kommen?

das frage ich mich auch...

 

[NorbertM]

Das sehe ich nicht als "Fehler" in der App, sondern in iOS. Deshalb wird das bei der Prüfung nicht bemerkt.

 

[double_d]

Als ich gerade den Beitrag laß, erzählte ich meinen Chef (iPhone-User) davon und auch er wusste nicht, dass man Einkäufe stornieren kann.

Genau dahin hat uns aber doch die Software-Industrie jahrzehntelang zwangserzogen. Da kann derjenige, der dies glaubt, tatsächlich nichts dafür. Auch wenn es heute möglich ist, ist das in den Köpfen (auch in meinem), fest verankert. Software ist von der Rückgabe und vom Umtausch ausgeschlossen. So las es sich auf jeder Verpackung und wurde stetig über Jahrzehnte kommuniziert.

 

[ullistein]

Ist das immer noch so, dass Apple die Möglichkeit sperrt, wenn man zu häufig die Rückgabe nutzt? Das passierte ja recht schnell, wenn ich mich recht erinnere.

 

[Bananenbieger]

Software ist von der Rückgabe und vom Umtausch ausgeschlossen. So las es sich auf jeder Verpackung und wurde stetig über Jahrzehnte kommuniziert.

Aber doch nicht im Betrugsfalle!

 

[Marcel Bresink]

Software ist von der Rückgabe und vom Umtausch ausgeschlossen.

Das ist auch heute noch so.

In dem beschriebenen Fall liegt jedoch eine ganz andere Situation vor, nämlich ein Gewährleistungsfall, der zur Wandlung berechtigt. Das ist niemals ausgeschlossen.

Die Begriffe Rückgabe und Umtausch bedeuten aber etwas anderes, nämlich dass überhaupt kein Mangel oder sonstiger Grund vorliegt, der den Händler dazu veranlassen könnte, den geschlossenen Kaufvertrag wieder rückgängig zu machen. Das sind freiwillige Angebote.

 

[double_d]

Aber doch nicht im Betrugsfalle!

Das ist auch heute noch so.

In dem beschriebenen Fall liegt jedoch eine ganz andere Situation vor, nämlich ein Gewährleistungsfall, der zur Wandlung berechtigt. Das ist niemals ausgeschlossen.

Die Begriffe Rückgabe und Umtausch bedeuten aber etwas anderes, nämlich dass überhaupt kein Mangel oder sonstiger Grund vorliegt, der den Händler dazu veranlassen könnte, den geschlossenen Kaufvertrag wieder rückgängig zu machen. Das sind freiwillige Angebote.

Das sollte nur das Mantra ausdrücken, was einem im Kopf herumschwirrt, wenn es um Software geht und die Natürlichkeit dieser Annahme unterstreichen, warum so viele Leute sich "auch" im Betrugsfall nicht wehren.
Über die tatsächlichen Sachverhalte bin ich durchaus informiert und kenne die Rechtslage.

 

[Verlon]

Das sehe ich nicht als "Fehler" in der App, sondern in iOS.

Natürlich ist das ein "Fehler" in der App. Es gibt keinerlei funktionelle Grundlage, den Finger 10 Sekunden auf Touch-ID zu legen, denn Touch-ID ist ausschließlich für die Authentifizierung, andere Werte erhält die App eh nicht. Die Aufforderung, den Finger für 10 Sekunden auf den Sensor zu halten, um somit den inApp Kauf automatisch zu bestätigen, ist Betrug. Und Apps mit betrügerischer Absicht sind ganz sicher nicht im AppStore erlaubt.

 

[NorbertM]

Es gibt keinerlei funktionelle Grundlage, den Finger 10 Sekunden auf Touch-ID zu legen

Und deshalb muss iOS das unterbrechen, wenn eine neue Abfrage erscheiint.

 

[Verlon]

Und deshalb muss iOS das unterbrechen, wenn eine neue Abfrage erscheiint.

ja, das in das OS einzubauen, würde diese Betrugsmasche verhindern. Und da Apple offenbar auch nicht immer so gut prüft, macht das auch Sinn.