Безопасно ли вводить Apple ID в сторонних сервисах и как это проверить

Чтобы вернуть банк из истории покупок, любой сервис повторной загрузки просит войти в Apple ID: только владельцу аккаунта Apple отдаёт его покупки. Осторожность здесь оправдана. Apple ID открывает iCloud с фотографиями и контактами, «Локатор», способы оплаты и все ваши устройства. Разберёмся, чем на самом деле рискуете, как защищает двухфакторная проверка и как отличить аккуратный сервис от опасного.

Что можно сделать с чужим Apple ID

Если у постороннего окажутся ваш пароль и код подтверждения, он сможет войти в аккаунт так же, как вы. Худшие сценарии выглядят так:

• Заблокировать телефон. Через «Локатор» можно стереть устройство или включить режим пропажи. После стирания включается блокировка активации, и без пароля Apple ID телефоном не пользоваться.
• Увидеть данные iCloud. Фото, контакты, заметки, резервные копии.
• Сменить пароль и забрать аккаунт. Тогда восстанавливать доступ придётся через Apple, и это может занять дни.
• Покупать на ваши деньги. Если к аккаунту привязан способ оплаты или есть баланс.

Для повторной загрузки приложений ничего из этого не нужно. Сервису нужен только вход в App Store, тот же, что делает сам iPhone, когда вы скачиваете приложение. Поэтому правильный вопрос не «давать ли пароль», а «кому он попадёт и что с ним можно сделать».

Как защищает двухфакторная проверка

У большинства Apple ID включена двухфакторная аутентификация. При входе на новом устройстве или в новом сервисе Apple показывает запрос на ваших доверенных устройствах, а после подтверждения выдаёт шестизначный код. Без кода одного пароля мало. Отсюда три правила:

1. Подтверждайте вход и вводите код, только если вы сами только что начали вход.
2. Никогда не диктуйте код по телефону и не пересылайте его в чат. Ни банк, ни Apple, ни честный сервис не попросят код голосом.
3. Обращайте внимание на место входа, но не паникуйте из-за него. Apple определяет его по IP-адресу соединения, поэтому при входе через VPN или сервер-посредник на карте будет город сервера.

Куда уходит пароль в разных сервисах

Все сервисы повторной загрузки делают одно и то же, но вход в Apple ID у них устроен по-разному. Это главное, в чём стоит разобраться.

Ни одна из моделей не делает сервис плохим или хорошим сама по себе. Но вы должны понимать, какую выбираете. Добросовестный сервис прямо пишет об этом на сайте и в политике конфиденциальности. Если на прямой вопрос «куда уходит мой пароль» внятного ответа нет, это уже ответ.

Как это устроено в Rebound

Мы сразу решили, что не хотим получать пароли пользователей. Поэтому вход сделан так:

• Вход идёт с вашего iPhone. Мини-приложение в Telegram само устанавливает шифрованное соединение TLS с серверами Apple. Наш сервер передаёт зашифрованные байты в обе стороны и прочитать их не может.
• Пароль, коды и токены к нам не попадают. Они остаются на телефоне, в защищённом хранилище, и удаляются одной кнопкой в «Профиль → Apple ID».
• Файл установки временный. Чтобы iPhone мог поставить приложение, телефон передаёт на сервер ссылку Apple на файл, лицензию из вашей покупки и метаданные покупки. В метаданных Apple указывает адрес Apple ID, как и в любом приложении из App Store. Файл доступен только по вашей личной ссылке и удаляется с сервера через час после скачивания, но не позже чем через 6 часов.
• Никаких профилей и джейлбрейка. На телефон ставится оригинальное приложение, подписанное Apple, из вашей покупки.

Всё это записано в нашей политике конфиденциальности. Как сам механизм загрузки работает у Apple, подробно рассказано в статье о повторной загрузке покупок.

Пароль остаётся между вами и Apple

Подключите Apple ID в Rebound и бесплатно проверьте, какие банки можно вернуть.

Открыть в Telegram

Покупки и iCloud: не путайте

На iPhone есть два разных входа. «Медиаматериалы и покупки» отвечает за App Store: с какого аккаунта скачиваются приложения. iCloud отвечает за данные, резервные копии и «Локатор». Сервису повторной загрузки нужен только первый, и вход в него вы делаете внутри сервиса, а не в настройках телефона.

Четыре частых заблуждения

• «Любой сервис, где вводишь Apple ID, может заблокировать телефон». Заблокировать iPhone может тот, кто получил и пароль, и код подтверждения и вошёл с ними в iCloud. Если пароль и код не покидают ваше устройство, сервису нечем это сделать. Поэтому и важно, где выполняется вход.
• «Мини-приложение в Telegram значит, что пароль видит Telegram». Мини-приложение представляет собой веб-страницу, открытая внутри Telegram. Куда уходят введённые данные, определяет сам сервис, а не мессенджер. В Rebound они уходят с телефона прямо на серверы Apple.
• «Заведу второй Apple ID, и риска не будет». Для повторной загрузки нужен именно тот аккаунт, на котором приложение есть в покупках. Новый пустой Apple ID вернуть банк не поможет, разве что вы успеете скачать на него перевыпуск, пока он доступен в App Store.
• «Если ввёл пароль, его уже не вернуть». Пароль всегда можно сменить. После смены сохранённые входы для покупок перестают действовать, и любой сервис, где вы входили, потеряет доступ.

Как понять, что в аккаунт входил кто-то другой

Apple сообщает о важных событиях в аккаунте. Обратите внимание, если:

• на iPhone пришёл запрос на подтверждение входа, хотя вы ничего не начинали;
• на почту пришло письмо о входе в Apple ID или о смене пароля, которых вы не делали;
• в списке устройств в «Настройки → ваше имя» появилось незнакомое устройство;
• в истории покупок есть то, чего вы не покупали;
• изменились доверенный номер телефона или адрес почты аккаунта.

Неожиданный запрос на подтверждение входа всегда отклоняйте. Само по себе такое сообщение значит, что кто-то знает ваш пароль, поэтому после отказа лучше его сменить.

Чек-лист: проверить сервис за пять минут

1. На сайте прямо написано, где выполняется вход в Apple ID и что передаётся на сервер.
2. Есть публичная оферта и политика конфиденциальности, а в них нет противоречий с тем, что написано на главной.
3. Сервис не просит прислать пароль или код в чат, по почте или голосом.
4. Сервис не просит входить в iCloud в настройках телефона.
5. Не нужно устанавливать профиль конфигурации, MDM или сертификат.
6. Ставится оригинальное приложение из ваших покупок, а не файл, подписанный чужим сертификатом.
7. Можно удалить свой Apple ID из сервиса самостоятельно.
8. Есть поддержка, которой можно написать до оплаты и получить ответ.

Если сервис не проходит хотя бы по одному из пунктов 3, 4 и 5, им лучше не пользоваться вовсе. Остальные пункты говорят о том, насколько сервис открыт и аккуратен.

Что сделать после установки

Если пароль уже попал не туда

1. Сразу смените пароль в «Настройки → ваше имя → Вход и безопасность» или на account.apple.com.
2. Проверьте список устройств и удалите все незнакомые.
3. Проверьте доверенные номера телефонов и адреса почты, уберите чужие.
4. Посмотрите историю покупок и способы оплаты.
5. Если войти уже не получается, восстановите доступ через iforgot.apple.com или обратитесь в поддержку Apple.

Если при «установке» вам ещё и звонили, просили код или предлагали перевести деньги на «безопасный счёт», это мошенничество. Положите трубку и позвоните в банк по номеру с обратной стороны карты.

Вернуть банк без лишнего риска

Только iPhone и Telegram, пароль уходит напрямую в Apple. Установка меньше минуты, первая бесплатно.

Открыть в Telegram