Unter iOS hat man sich daran gewöhnt, dass man ständig seine Apple ID eingeben muss. Wie der Entwickler Felix Krause in einem ausführlichen Artikel erklärt, ist dies aber ein mögliches Einfallstor für Phisher, die nach wertvollen Kennwörtern suchen. Ein Hacker müsste nur knapp dreißig Zeilen Code in eine unverdächtige App einschleusen, die während der Nutzung eine angebliche Apple-Meldung anzeigt (einen so genannten UIAlertController). Die meisten Nutzer würden dann wohl einfach ihr Passwort eingeben. Auch die Aktivierung von 2-Faktor-Passwortschutz würde hier nicht viel helfen.
Foto: Max Krause
Bekannt sind Phishing-Attacken mit dieser Methode zwar bisher nicht, trotzdem empfiehlt der Entwickler vor Eingebe des Passwortes besser den Home-Button zu drücken. Nur bei einer echten Systemmeldung wird das Eingabefenster dann weiter angezeigt. Bei den meisten echten Systemmeldungen wird zwar die E-Mail-Adresse des Nutzers angezeigt, diese lässt sich aber bestimmen und auch Systemmeldungen ohne E-Mail-Adresse sind schließlich üblich.
Apple überprüfe zwar jede App, bevor sie im App Store veröffentlicht wird, es gibt aber laut Krause doch einige Schlupflöcher für erfahrene Programmierer. Apple könnte diese Schwachstelle aber schließen, indem man die Abfrage nur über die Einstellungen-App ausführe oder neben App-Dialogen das Icon der zugeordneten App einblende. Von Apple gibt es zu dem Thema bisher keinen Kommentar.
Unsere Meinung: Bisher sind uns keine Phishing-Versuche per App bekannt, die Gefahr ist aber nicht zu unterschätzen. Wir empfehlen, bei Passwortabfragen etwas vorsichtiger zu sein und auf die App im Hintergrund zu achten. (Macwelt)