Apple hat kürzlich eine kritische Sicherheitslücke in seiner mit iOS 18 eingeführten Passwords-App behoben. Über einen Zeitraum von drei Monaten waren Nutzer potenziell Phishing-Angriffen ausgesetzt, bevor das Unternehmen mit dem Update auf iOS 18.2 im Dezember letzten Jahres reagierte. Die Schwachstelle betraf die Art und Weise, wie die Passwords-App Logos und Icons für gespeicherte Passwörter abruft. Anstatt gesicherte HTTPS-Verbindungen zu nutzen, wurden diese Elemente über unverschlüsselte HTTP-Anfragen geladen. Dies ermöglichte es Angreifern, die sich im selben Wi-Fi-Netzwerk wie der Nutzer befanden, diese Anfragen abzufangen und den Nutzer auf gefälschte Phishing-Websites umzuleiten, um sensible Informationen wie Login-Daten zu stehlen.


Spätes Eingreifen von Apple
Apples Sicherheits-Hinweise zu iOS 18.2 beschrieben den Fehler wie folgt: "Ein Angreifer in einer privilegierten Netzwerkposition kann möglicherweise den Netzwerkdatenverkehr ändern. Dieses Problem wurde durch die Verwendung von HTTPS beim Senden von Informationen über das Netzwerk behoben." Die Cybersecurity-Experten des Unternehmens Mysk hatten die Schwachstelle bereits im September 2024 entdeckt und an Apple gemeldet. Trotz der Schwere des Problems dauerte es bis zur Veröffentlichung von iOS 18.2 im Dezember, bis eine Lösung implementiert wurde. Warum Apple diese gravierende Sicherheitslücke nicht früher behoben hat, bleibt unklar. Das Unternehmen hat sich dazu bislang nicht geäußert.


Auswirkungen auf die Nutzer
Während der drei Monate, in denen die Schwachstelle bestand, waren Nutzer besonders in öffentlichen Wi-Fi-Netzwerken wie Cafés, Flughäfen oder Hotels gefährdet. Wie viele tatsächlich von Phishing-Attacken betroffen waren, ist unklar – laut einem kürzlich veröffentlichten Video von Mysk war die potenzielle Gefahr jedoch erheblich.

Nutzer, die noch nicht auf iOS 18.2 oder eine neuere Version aktualisiert haben, sollten dies umgehend tun, um sicherzustellen, dass ihre Passwords-App sicher ist.