Apple ID: Phishing-Angriffe auf Passwörter möglich

iPhone und iPad-User kennen Das: In regelmäßigen Abständen erscheint ein Fenster, das zur Eingabe des iTunes-Kennwortes auffordert. Das iTunes-Kennwort entspricht dem der Apple ID. Durch die Häufigkeit dieser Abfrage sind viele User von iOS inzwischen darauf konditioniert, an dieser Stelle ohne weitere Zweifel ihr Kennwort einzugeben. Eine App könnte diesen Dialog für Phishing-Angriffe nachstellen.

Der Entwickler Felix Krause demonstriert in seinem Blog-Post, wie einfach es mit nur 30-Zeilen Programmcode möglich wäre, genau den Eingabedialog in einer App nachzustellen. Er geht sogar soweit, dass der Code dazu schon fast vollständig in der Dokumentation von Apple enthalten sei. Es handelt sich um eine normale Dialogbox.

Phishing-Angriffe per App

Auch das “Vorbeischleusen” am App-Store-Review-Team sei laut Krause kein Problem. Es gäbe mehrere Methoden, eine App so zu entwickeln, dass sie nach dem Review durch Apple Funktionen ausführen kann, die zum Zeitpunkt des Reviews nicht vorhanden waren.

Selbst ein Account mit aktivierter Zwei-Faktor-Authentifizierung sei nicht 100% gegen Phishing geschützt, denn eine passend ausgestattete App könnte auch diesen simulieren.

Wie kann man an Angriff erkennen?

Krause schildert das Problem als eine Kombination aus Apples häufiger Abfrage des Passwortes und der daraus resultierenden Konditionierung der Anwender, dieses ohne Bedenken einzugeben. Es gibt allerdings eine Methode, wie man die Echtheit des Dialogs überprüfen kann. Sollte die Box legitim angezeigt werden, kann die App nicht durch drücken des Homebuttons beendet werden. Nur durch ein Tippen auf “Abbrechen” verschwindet der Dialog. Der Grund dafür: Es handelt sich um einen System-Dialog der in einem anderen Prozess abläuft, als die Apps.

Mehr Misstrauen ist hilfreich

Eine mit “Phishing-Funktionen” ausgestattete App würde auf jeden Fall beim Druck auf den Homebutton in den Hintergrund geschoben. Generell sollte man immer etwas vorsichtig und misstrauisch gegenüber allzu häufigen Passwortabfragen sein, mahnt Krause in seinem Artikel.