Webcam-Sicherheitslücke in macOS: Student erhält 100.500 Dollar für das Aufspüren des Lecks
Sicherheitslücken in den eigenen Systemen sind für Tech-Konzerne ein großes Problem. Viele Unternehmen beschäftigen daher nicht nur ein hauseigenes Sicherheitsteam, das Schwachstellen und dazugehörige Bugs aufspürt – zusätzlich gibt es auch sogenannte Bug-Bounty-Angebote, die Belohnungen für das Finden von Fehlern und Sicherheitslecks ausrufen. Auch Apple gehört zu den Konzernen, die entsprechende finanzielle Anreize schaffen. Ein Student sicherte sich im Rahmen des Bug Bounty Programms jetzt die bisher größte Summe, die Apple je für das Finden einer Sicherheitslücke an eine Einzelperson zahlte.
100.500 US-Dollar für Webcam-SicherheitsleckRyan Pickren hat allen Grund zur Freude. Der Student im Fachbereich der Cybersicherheit entdeckte eine Schwachstelle im Zusammenspiel zwischen macOS, Apples Browser Safari und der Webcam des jeweiligen Apple-Rechners. Online-Angreifer können darüber unbefugten Zugriff auf Web-Accounts des Anwenders erhalten. Nachdem Pickren das Unternehmen aus Cupertino im letzten Jahr über die Sicherheitslücke informierte, gab Apple ihm die Bug-Bounty-Rekordsumme von 100.500 US-Dollar Belohnung – mehr hat das Unternehmen Berichten
zufolge noch nie an eine einzelne Person ausgezahlt.
Unbefugter Zugriff auf Online-Accounts, Webcam und DateisystemPickren thematisiert das Sicherheitsleck auf seiner
Website. Dort zeigt er, wie sich Angreifer umfassenden Zugriff auf den Zielrechner verschaffen können. Der daraus entstehende Schaden kann – je nach Umfang des Angriffs – beträchtlich sein. Theoretisch sei der unbefugte Eingriff bei allen Online-Accounts möglich – dazu zählen auch iCloud-Logins, PayPal, Banking und alle sonstigen Bereiche mit hochsensiblen Nutzerdaten.
Hinzu komme ein weiteres Risiko: Nicht "nur" entsprechende Accounts können als Zielscheibe für Angreifer dienen. Hacker haben zudem die Möglichkeit, sich Zugriff auf die Kamera und das Mikrofon des jeweiligen Macs zu verschaffen – inklusive der Möglichkeit des Screensharings. Der potenzielle Angriff auf die Privatsphäre des Anwenders wäre also im Fall der Fälle noch immenser. Auch der Vollzugriff auf das Dateisystem des Rechners sei möglich, so Pickren. Dem Student zufolge hat Apple die Sicherheitslücke Anfang 2022 behoben. Ob die Sicherheitslücke aktiv ausgenutzt wurde, ist nicht bekannt.