近期爆出 iOS 系統漏洞，可導致非越獄裝置的帳號、密碼等敏感資訊被竊取，最新 iOS 8.2 仍未修補。騰訊手機管家專家表示，此為 URL Scheme 既知漏洞，許多開發者為功能需求不得不繼續使用。

漏洞原理分析：

iOS 允許 App 綁定自訂 URL Scheme 以便從瀏覽器或其他 App 啟動。多個 App 註冊同一 Scheme 時，系統程序優先級高於第三方；但若皆為第三方則無優先級，系統依 Bundle ID 順序 判定。駭客偽造 Bundle ID 使惡意 App 優先被調用，攔截支付寶/微信支付請求，竊取帳密並完成支付流程。

防範建議：

• 蘋果可限制 Bundle ID 濫用保障 URL Scheme 安全。
• 第三方 App 增加安全檢測：發送自測 Scheme 驗證未被劫持、用 applicationsAvailableForHandlingURLScheme() 查看註冊順序。

用戶自保：

1. 勿安裝來源不明 App，特別是企業憑證類。
2. 養成良好下載習慣，選知名度高 App，越獄與否盡量用 App Store。
3. 越獄狀態裝手機安全軟體（如騰訊手機管家 Pro）定時查殺修復。