#Applefun: Forse non è vero che iOS è più sicuro di Android

Che Android sia migliore di iOS, o iOS più fluido di Android sono interrogativi che gli utenti delle rispettive piattaforme si pongono da tempo ma senza trovare una risposta univoca – che probabilmente non esiste. È invece opinione comune che iOS sia più sicuro di Android, che gli iPhone godano di maggiore sicurezza rispetto alla concorrenza; tale teoria trova appoggi tanto nel campo di Cupertino che di Mountain View, così come in una certa stampa generalista. Stando però agli ultimi dati rilasciati da diverse società di analisi e sicurezza, si scopre con facilità non certo che iOS è più sicuro di Android, ma che al contrario in futuro sarà proprio Apple a dover fare fronte contro una crescente minaccia alla sicurezza dei dati dei propri utenti.

Siete pronti per scoprire perchè non è più vero l’assioma secondo cui iOS è più sicuro di Android?

Quando iOS era più sicuro di Android

Il mito per cui iOS è più sicuro di Android ha radici profonde e, come tutti i luoghi comuni, possiede un certo grado di fondatezza che difficilmente riusciremmo a smentire senza cadere in un’imbarazzante partigianeria che non ci contraddistingue – se non in questa rubrica, ma che in ogni caso eviteremo.

Sino infatti ad Android Lollipop 5.0, il sistema di sicurezza e protezione dei dati di Android versava in condizioni ben poco onorevoli, mentre la piattaforma iOS elaborata da Apple poteva a ben ragione vantare una relativa immunità da attacchi hacker e di programmi malevoli.

I vantaggi di un sistema iOS erano dovuti dalla presenza di un metodo centralizzato di aggiornamento capace di eliminare velocemente exploit di qualsiasi genere sulla maggioranza dei dispositivi, e di regole stringenti per gli sviluppatori per l’ingresso sull’App Store. Invece, con un Android Market dotato di un servizio di revisione fin troppo lasso, aggiornamenti e patch di sicurezza praticamente inesistenti (ma la situazione non è migliorata di molto da allora), Android subiva silenziosamente.

L’esplosione della vulnerabilità Stagefright, che suscitò un clamore mediatico superiore alle aspettative, fu la tempesta perfetta che spinse Google ad istituire l’Android Security Bulletin Monthly Release nel 2015, un sistema di aggiornamenti di sicurezza a cadenza mensile. L’avvento nel 2016 di Android Marshmallow 6.0 vide l’ammodernamento del sistema di concessione dei permessi alle app, spostando il comando dallo sviluppatore all’utente mentre il sistema di sblocco sicuro Smart Lock, introdotto nel 2015 con Lollipop, venne perfezionato sino ad Android Nougat, così come la crittografia (eseguibile sia sull’intero dispositivo, sia file-based).

L’istituzione di concorsi e premi per gli sviluppatori capaci di scoprire vulnerabilità nel SO (prassi sempre più frequente nel mondo dei software) ha portato ad una stretta collaborazione tra Google e il mondo della programmazione. La positività dei risultati è testimoniata anche dal rialzo periodico del valore dei premi.

Quando iOS non è più sicuro di Android

Ironia della sorte, sembra che nel prossimo futuro il paradigma “iOS è più sicuro di Android” tenderà ad sbiadirsi con il passare del tempo, in una somma in cui l’ordine degli addendi modifica decisamente il risultato.

I dati di due studi infatti riportano un improvviso aumento dei malware su iOS, parallelamente ad una sempre maggiore esposizione degli iPhone agli attacchi di phishing, ossia di furto di credenziali attraverso una gran varietà di metodologie.

I malware iOS

Il primo report proviene dalla casa Skycure, che ha analizzato gli ultimi 10 anni di storia di iOS nel suo rapporto con i virus per smartphone e la sicurezza mobile: il risultato ha evidenziato un aumento preoccupante dei malware per iOS, il cui numero è triplicato in poco meno di un anno. Nonostante infatti la fama guadagnatasi dall’App Store nel corso degli anni, la casa di Cupertino sta facendo “un lavoro tremendo” nel tentativo di tenere i virus al di fuori del market di applicazioni iOS, secondo i ricercatori.

L’interesse degli hacker nei confronti di iOS non è immotivato: gran parte degli impiegati, dirigenti e ingegneri delle grandi società scelgono prediligono dispositivi come iPhone ed iPad per la gestione della routine lavorativa, archiviandovi dati e informazioni di grande valore. E i metodi per infettare un iPhone sono numerosi:

• tramite l’App Store (come XCodeGhost), o servendosi di un’app maligna in possesso di un certificato di sicurezza Apple (come AceDeceiver);
• installando l’applicazione infetta in background (Yispecter);
• prendendo di mira dispositivi su cui è stato operato il jailbreak (Xsser mRAT, per esempio);
• via collegamento fisico (come Wireluker);
• sfruttando una vulnerabilità del sistema operativo (come nel caso di Pegasus).

Paradossalmente, le strategie utilizzate dai malware iOS sono le stesse già viste da tempo su Android: dopo il download iniziale, l’app infetta spinge l’utente a cliccare su un pulsante che ne abilita nascostamente l’attività di jailbreaking, la quale consente al malware di mettere le mani su informazioni e sensori del dispositivo.

Stando però a Skycure, a difesa del sistema Apple va detto che ogni vulnerabilità viene rapidamente risolta nella maggioranza dei dispositivi grazie al sistema di aggiornamento centralizzato che porta il 91% degli iPhone a disporre dell’ultima versione disponibile del sistema operativo. Curiosamente, gli utenti europei sono percentualmente più esposti a tali minacce di quelli statunitensi, ed allo stesso tempo possedere un iPhone porta a 39% le possibilità di incorrere in un malware iOS, contro il 25% degli iPad.

Let’s go phishing

Ma se sviluppare un malware per iOS può richiedere conoscenze tecniche superiori alla media degli sviluppatori, realizzare un portale fasullo di accesso ad una piattaforma per organizzarne il furto delle credenziali è decisamente più semplice e veloce.

È passato il tempo in cui gli attacchi di phishing avvenivano solamente attraverso le email: stando alle statistiche di Wandera, l’81% di questi attacchi avviene al di fuori di questo formato (con un 63% direttamente indirizzato nei confronti degli utenti iOS) per un totale di 930 milioni di credenziali rubate solamente nel 2016.

Si tratta di un aumento del 280% rispetto al 2015, segno che il phishing sta diventando la tipologia di estrapolazione di dati personali preferita: a contribuire all’efficacia del metodo gli schermi degli smartphone, le cui ridotte dimensioni tendono a troncare l’URL che dunque può apparire legittimo nella sua anteprima.

Le strategie utilizzate sono varie:

• frode finanziaria, dove l’utente viene invitato a controllare il proprio conto corrente in seguito ad un presunto attacco informatico
• spear phishing, un sistema di attacco mirato in cui gli hacker, fingendosi superiori della vittima all’interno della propria attività lavorativa, gli estorcono i dati necessari;
• whaling, simile allo spear phishing ma indirizzato più specificatamente a dirigenti di aziende;
• offerte promozionali, servendosi del miraggio di un coupon o buono sconto – una strategia che nel 19% dei casi vede un esito positivo
• falso portale d’accesso a social network, un metodo banale ma riguarda il 24% del totale dei casi vincenti di phishing;
• aggiornamento del sistema, spesso materializzato nella forma di update ad app di sistema come Gmail, Drive…

Nella maggioranza dei casi, comunque, su iOS.

Divertiti ancora un po’, scopri QUI tutti i peggiori prodotti Apple di sempre!

Vorresti scrivere per AppElmo? Mettiti in gioco: stiamo cercando collaboratori! Scrivi a [email protected], e dai un’occhiata QUI per le modalità di contatto. Non essere timido!

Se non volete perdervi nè le prossime puntate di #Applefun nè gli altri articoli di AppElmo (e sappiamo che non volete), allora potete iscrivervi alla nostra newsletter inserendo il vostro indirizzo email nel form qui in basso (tranquilli, vi assicuriamo che non vi invieremo spazzatura o spam; in caso contrario, vi saremmo immensamente grati se ci segnalaste il problema).

Oppure potete seguirci sulla nostra pagina Facebook, sul nostro account Twitter, sulla nostra pagina Google Plus, sulla nostra rivista Flipboard e sul nostro canale Telegram oppure, in alternativa, potete sempre scaricare la nostra app da Google Play, cliccando QUI o sull’immagine nella sidebar! Grazie mille!