Ausgerechnet die Passwords-App von
Apple war über einen Zeitraum von mehreren Monaten nur unzureichend gegen Phishing-Angriffe geschützt, wie der Security-Forscher Tommy Mysk an
dieser Stelle demonstriert. Befand sich ein Angreifer im selben WLAN wie das iPhone des Opfers, konnte er die Abfragen der Passwords-App mitlesen – namentlich also hauptsächlich User-Passwörter im Klartext. Die Sicherheitslücke wurde von Apple im Dezember des vergangenen Jahres mit dem Update auf iOS 18.2 behoben. Apple beschrieb das Problem mit den folgenden Worten: "Ein Benutzer in einer privilegierten Netzwerkposition kann sensible Informationen leaken."
Die Lösung von Cupertino war vergleichsweise simpel, indem die Passwords-App fortan ausschliesslich über das verschlüsselte Protokoll HTTPS kommunizierte. Für Mysk ist es schwer nachvollziehbar, wieso eine derart sicherheitsrelevante App von Apple erst nach einem Update standardmässig auf HTTPS gesetzt worden ist. Ob es auf diese Weise zu erfolgten Phishing-Angriffen gekommen ist, kommentiert Apple nicht.
(dok)
