Existe un bug en la aplicación de correo de Apple en iOS (y parece que también en OS X) que puede ser usada para mostrarte contenido trampa y que en realidad no tiene nada que ver con un correo electrónico típico, capaz en teoría de saltarse algunas reglas y filtros antispam.
PUBLICIDAD
Se trata de un código bastante simple pero que en Apple se olvidaron de bloquear en la aplicación. Es el código meta “refresh” (<meta http-equiv=refresh>) que permite que después de ciertos segundos, la página se refresque o vaya a otra web. Este código es muy común en webs que quieren moverte a otra web de forma automática, solo que en correos electrónicos esto no debería pasar.
Según la persona que encontró y documentó este bug, se reportó a Apple el pasado 15 de enero de 2015 y aun, tras alguna actualización, no se ha arreglado.
Para ponerlo en perspectiva el ejemplo que pone a continuación es bastante aclaratorio. Cuando se recibe un correo electrónico trampa automáticamente al abrirlo el correo manda a una web con un código que abre una ventana que emula ser la ventana de diálogo de usuario y contraseña de tu cuenta de iCloud. Estos datos se envían a un servidor que almacena el usuario y contraseña.
Se ha publico en GitHub la documentación y el código necesario para hacer este ataque tan simple, que llama poderosamente la atención de muchos expertos por las posibilidades de ataques que tiene.
Imagina recibir cualquier correo y que te salte una ventana de diálogo de usuario y contraseña, tan similar a la de iOS que casi ni piensas y la escribes. También se podría usar para redireccioar correos que parecen normales con texto, a una web con spam.
