Es ist eine gängige Annahme, dass Android Geräte weitaus unsicherer sind als Apple Gadgets. Das stimmt allerdings nur bedingt, denn obwohl Android viel häufiger attackiert wird versuchen es Hacker auch bei ahnungslosen iPhone Nutzern. Unlängst wurde eine Methode zu Phishing-Attacken publik gemacht, bei der die Zugangsdaten des Nutzers abgegriffen werden können.

Sicherheitslücken können enorme Schäden beim Nutzer verursachen, wenn sie nicht rechtzeitig entdeckt werden. Im folgenden Fall konnte der Sicherheitsexperte Felix Krause Apple vorzeitig warnen. Denn die Lücke könnte von Hackern genutzt werden, um via Pop-ups an die Apple ID Daten des Nutzers zu gelangen. Bei der Phising-Attacke wird die offizielle Aufforderung zur Passworteingabe von Apple nachgeahmt, um somit die Daten an einen fremden Server umzuleiten. So könnten auch undurchsichtige App Entwickler dieses Pop-up in ihre Anwendung einbauen.

So erklärt Krause, dass Apple User es gewohnt sind ständig das Pop-up mit der Apple ID Eingabe zu sehen. Ob man nun etwas im App Store kauft, die iCloud nutzen oder Updates installieren will, ohne Passwort geht nichts. Dieses Pop-up können Entwickler mithilfe des System-Tools “UIAlertController” nachahmen, das öffentlich zugänglich ist, und Nutzer so in die Falle locken. Das Ganze sei für einen versierten Entwickler nicht schwer zu programmieren, sodass es wie echt wirkt. Es seien laut Krause nicht mehr als 30 zusätzliche Codezeilen nötig.

Die Wahrscheinlichkeit einer solchen Phishing-Attacke zum Opfer zu fallen sind indes gering. Denn bevor die mit dem gefälschten Pop-up erweiterte App zum Nutzer gelangt, muss sie zuerst in den App Store kommen. Hier sorgt ein Review Team dafür, dass keine schädlichen Anwendungen in den Store kommen, die möglicherweise ein Millionenpublikum schädigen könnten.

So schützt ihr euch vor Phishing-Attacken in iOS

Wie kann man eine echte von einer falschen Apple Passworteingabe unterscheiden? Benutzt man eine App und poppt die Eingabe auf, dann sollte man den Home Button drücken. Verschwindet die App mitsamt des Pop-ups, dann war es wohl eine Phishing-Attacke. Bleibt nur das Pop-up übrig, dann stammt die Anfrage vom System und ist somit gefahrlos.

Damit User künftig auf der sicheren Seite sind, schlug Krause dem Konzern vor die Pop-ups komplett aufzugeben. Stattdessen sollte die Apple ID Eingabe nur in den Einstellungen erfolgen, wo kein bösartiger App Entwickler hinkommt. Um sich noch stärker abzusichern, ist eine sogenannte Zwei-Faktor-Authentifizierung ratsam, bei der der Account-Zugriff nur mit einem zweiten Gerät möglich ist.

Quelle: appleinsider.com