Los hackers de sombrero negro están explotando las aplicaciones de podcasts, específicamente Apple Podcasts, como un nuevo vector de ataque, según hallazgos recientes de Joseph Cox de 404 Medios. Esta vulnerabilidad permite el lanzamiento de aplicaciones no solicitadas y potencialmente mayores compromisos del sistema. Durante varios meses, las aplicaciones Apple Podcast tanto en iPhone como en Mac mostraron un comportamiento inusual. Los podcasts, predominantemente de naturaleza religiosa, se lanzan automáticamente sin que el usuario lo solicite ni se suscriba. Los metadatos asociados con estos podcasts no solicitados contenían elementos sospechosos, incluidas direcciones de correo electrónico personales, frases multilingües relacionadas con la fe y secuencias de códigos preocupantes. Patrick Wardle, experto en seguridad de macOS y fundador de Objective-See, afirmó: «El comportamiento más preocupante es que la aplicación se puede iniciar automáticamente con un podcast elegido por el atacante. He replicado un comportamiento similar, aunque a través de un sitio web: simplemente visitar un sitio web es suficiente para activar Podcasts para abrir (y cargar un podcast de elección del atacante) y, a diferencia de otros lanzamientos de aplicaciones externas en macOS (por ejemplo, Zoom), no se requiere solicitud ni aprobación del usuario». Esta capacidad de inicio automatizado genera preocupaciones sobre un posible acceso no autorizado a los periféricos del dispositivo. Si una aplicación como Zoom, que controla las funciones de la cámara, pudiera activarse de manera similar sin la intervención del usuario, sugiere una vía para que los podcasts maliciosos activen potencialmente cámaras web o micrófonos sin saberlo. Los usuarios pueden considerar aplicaciones de podcasts alternativas, como Pocket Casts, para mitigar este riesgo.
