Kriminelle nutzen Schwachstelle bei Apple aus: Zugriff auf iCloud durch Passwort-Trickerei

Kriminelle scheinen derzeit eine Schwachstelle im Passwort-Zurücksetzen-Prozess von Apple auszunutzen, um Zugriff auf iCloud-Accounts zu erlangen. Nutzer berichten, dass sie plötzlich eine große Anzahl von Passwort-Zurücksetzen-Benachrichtigungen auf ihren Apple-Geräten erhalten. Laut einem Bericht von KrebsonSecurity lautet der Inhalt der Nachricht: “Verwende dieses iPhone, um dein Apple-ID-Passwort zurückzusetzen”. Die betroffenen Nutzer haben nur die Möglichkeit, auf die Mitteilung mit “Ablehnen” oder “Zulassen” zu reagieren. Einige Nutzer in den USA berichten sogar, dass sie hintereinander Dutzende solcher Mitteilungen erhalten haben.

Der eigentliche Trick der Betrüger besteht darin, sich als Mitarbeiter des Apple-Supports auszugeben und von einer vermeintlichen Apple-Support-Nummer aus anzurufen. Dabei bitten sie das Opfer um Weitergabe eines Einmal-Codes, der zur Passwort-Zurücksetzung gesendet wurde. Wenn der Code weitergegeben wird, kann der Angreifer offenbar ein neues Passwort für die Apple-ID oder den iCloud-Account festlegen und die Kontrolle übernehmen.

Der Angriff basiert darauf, dass das Opfer durch die große Anzahl von Mitteilungen genervt ist und den Einmal-Code ohne weitere Überlegungen an den vermeintlichen Support-Mitarbeiter weitergibt. Diese Art von Angriff wird auch als Push-Bombing-Angriff oder MFA-Erschöpfung bezeichnet, da das Opfer durch die wiederholten Anfragen zur Multi-Faktor-Authentifizierung erschöpft wird.

Um diese Methode anzuwenden, benötigt der Angreifer sowohl die Apple-ID als auch die Mobiltelefonnummer, die mit dem Apple-Account des Opfers verknüpft ist. Daher wird vermutet, dass diese Angriffe vor allem gezielt gegen einzelne Personen eingesetzt werden. Ein Unternehmensgründer berichtete auf Twitter von dieser Vorgehensweise und gab an, dass der Angreifer auch versuchte, auf zusätzliche Informationen aus kommerziellen Personendatenbanken zuzugreifen.

Bisher ist ungewiss, ob diese Angriffe auch in Deutschland oder Europa in größerem Ausmaß auftreten. Es ist noch unklar, ob es einen Fehler im Web-basierten Passwort-Zurücksetzen-Prozess von Apple gibt, der überhaupt erst die Vielzahl von störenden Push-Benachrichtigungen ermöglicht. Apple hat bisher noch keine Stellungnahme zu den Vorfällen abgegeben. Es bleibt zu hoffen, dass das Unternehmen schnellstmöglich Maßnahmen ergreift, um seine Nutzer vor solchen Angriffen zu schützen.

Schlagwörter: Apples + Apple + KrebsonSecurity

Wie bewerten Sie den Schreibstil des Artikels?