Die meisten Apple-Nutzer verwenden das iCloud-Konto für viele persönliche Informationen: Bilder werden synchronisiert, Notizen und Erinnerungen gespeichert und die Passwörter für viele Dienste und Apps synchronisiert. Ergattert ein Angreifer Zugang zu diesen Informationen, kann dies großen Schaden nach sich ziehen. Die Problematik von kompromittierten Passwörtern entgegnete Apple mit der Zwei-Faktor-Authentifizierung: Will man sich auf einem neuen Gerät anmelden, muss man zusätzlich zum Passwort einen Code eingeben, welcher an ein angemeldetes Apple-Gerät geschickt wurde. So können Angreifer nicht auf ein iCloud-Konto zugreifen, selbst wenn das Passwort bekannt ist.


Das Wall Street Journal berichtet nun, dass Kriminelle in den USA immer öfter eine Taktik verwenden, um an die iCloud-Daten der Nutzer zu gelangen. Erbeutet ein Dieb ein iPhone, kann er meist nicht viel mit dem Gerät anfangen: Kennt er den PIN-Code nicht, kann er nicht auf das Gerät zugreifen – und Face ID gilt allgemein als unüberwindbar. Doch das Einfallstor ist der PIN-Code: Erbeutete ein Dieb neben dem Gerät auch den PIN-Code, steht ihm das gesamte Nutzerkonto offen.


Passwort ändern – und Geräte entfernen
Laut dem Wall Street Journal spähten Diebe in den USA mögliche Ziele in Kneipen aus – und beobachteten diese bei Eingabe des PIN-Codes. Danach erbeuteten die Diebe die iPhones der Nutzer und handelten schnell: Sie änderten das Passwort des iCloud-Kontos, meldeten alle anderen Apple-Geräte vom Konto ab und erstellten einen Wiederherstellungsschlüssel – denn so konnte Apple den Nutzern nicht mehr dabei helfen, wieder an die Daten zu gelangen. Außerdem änderten die Diebe auch die vertrauenswürdige Telefonnummer und die Wiederherstellungskontakte, sodass auch der Geschädigte hierüber keinen Zugang zum iCloud-Konto bekommen kann.

Die Schwachstelle ist hier, dass das Passwort des iCloud-Kontos geändert werden kann, wenn der PIN-Code zum iPhone bekannt ist – einen weiteren Schutzmechanismus gibt es hier nicht.

Bank-Passwörter erbeutet
Viele Nutzer speichern Passwörter zu Bank-Apps und Bank-Webseiten auch im iCloud-Schlüsselbund – und die Diebe hatten dann natürlich Zugang zu diesen und verwendeten die Bank-Zugänge, um schnellstens Gelder auf eigene Konten zu überweisen. Das Wall Street Journal berichtet, dass manche Kunden fünfstellige Beträge auf diese Art und Weise verloren.

Momentan keine Lösung
Einen wirklichen Schutz gegen diese Taktik gibt es aktuell nicht. Es ist aber anzuraten, in der Öffentlichkeit auf Face ID oder Touch ID zurückzugreifen, denn so kann ein Dieb nicht den PIN-Code ausspionieren.

Apple liefert auch keine Lösung
Apple antwortete auf den Bericht – sagt aber lediglich, dass sich Sicherheitsforscher einig seinen, dass das iPhone das momentan sicherste Mobiltelefon sei und Apple unermüdlich an der Verbesserung arbeite. Cupertino würde diese Vorfälle ernst nehmen und genau untersuchen, auch wenn es sich um seltene Einzelfälle handele. Das Unternehmen will weiter an der Verbesserung der Sicherheitsmaßnahmen arbeiten, nennt aber keine konkreten Lösungsmöglichkeiten.