不肖app打着健康减重的名义，诱骗iPhone用户在TouchID扫指纹刷卡

安全公司发现近日在苹果App Store上有二个诈骗iOS app以提供健康减重资讯为名，骗取iPhone用户利用TouchID刷卡付出大笔金钱。

ESET研究人员发现，这二个iOS app分别为Fitness Balance及Calories Tracker，乍看之下像是合法的减重及健康app，可计算BMI、追踪每日摄取的卡路里及提醒用户多喝水。然而使用者启用这些app后，它们会要求使用者利用iPhone的TouchID扫指纹，称可以“读取个人化的卡路里纪录及饮食建议”。当使用者照做后，这些app就显示消费者将以TouchID支付99.99、119.99美元，或是139.99欧元的程式内购买（in-app purchase）视窗讯息。

由于该讯息仅显示一秒钟，如果消费者的Apple账号有绑信用或转账卡的话，这笔交易就会马上完成确认，直接从使用者银行账户扣走一大笔钱。要是使用者拒绝扫指纹，Fitness Balance app就会跳出一个视窗讯息要求使用者按下“continue”才能使用这款app。Reddit上已经有用户通报受害。

从界面和功能来判断，这两个app极可能出自同一人或业者。虽然这个app如此恶劣，但仍在App Store获得许多5颗星评论，平均得分4.3颗星，至少有18个人给予最正面的评价。ESET研究人员Lukas Stefanko指出，帮自己的app给予假评分也是歹徒常用来自我美化的技俩。

有用户联络Fitness Balance app的开发商，却仅得到承诺将在1.1版中修复“问题”等不痛不痒的回复。在受害者通报后，苹果已经将其从App Store上移除。受害者也可以试着要求苹果App Store退费。

App Store上不允许安全产品，因此使用者只能仰赖苹果的安全措施。安全人员建议使用者应多看一下其他用户评价，而正面评价很容易伪造，因此看负面评价比较能透露真相。

另外，iPhone X用户也可以启用名为双击支付（Double Click to Pay）的功能，按二次侧边按键才能完成支付验证，借此减缓被骗的速度。