Пароли Apple оставляли пользователей открытыми для целенаправленных фишинговых атак
Начиная с iOS 18, когда появилось приложение Passwords, и до обновления iOS 18.2 пользователи могли раскрыть пароли злоумышленникам в привилегированной сети, но вы, скорее всего, в безопасности.
Apple выпустила iOS 18 в сентябре 2024 года с новым приложением «Пароли», но при открытии ссылок или получении иконок оно использовало менее безопасный протокол HTTP, а не HTTPS. Это означало, что злоумышленник, находящийся в привилегированной сети, мог перехватить HTTP-запрос, перенаправить пользователя на поддельный сайт и получить логин.
Компания Mysk, занимающаяся исследованиями в области безопасности, обнаружила эту проблему и сообщила о ней Apple в сентябре, а приложение Passwords было исправлено в декабре в iOS 18.2. Это означает, что уязвимость существовала в течение этих трех месяцев и оставалась актуальной для всех, кто работал с версиями, предшествующими iOS 18.2.
Apple не раскрывала информацию об уязвимости и патче до 17 марта 2025 года, что было обнаружено изданием 9to5Mac. Вероятно, это было сделано для того, чтобы защитить пользователей, которые все еще не обновились, и держать проблему в тайне до достижения определенного порога.
Если кто-то до сих пор работает с iOS 18.2, ему следует обновиться как можно скорее. Тем не менее, маловероятно, что кто-то стал жертвой этой уязвимости из-за специфики вектора атаки.
Для того чтобы раскрыть свои пароли через приложение Apple Passwords, пользователю необходимо:
Находиться в сети Wi-Fi, где также могут находиться злоумышленники, например в кофейне или аэропорту.
Плохой игрок должен знать об уязвимости и активно пытаться ее использовать.
Пользователю нужно будет открыть Apple Passwords, открыть пароль, затем нажать на ссылку в приложении, чтобы перенаправить на вход в систему из приложения Passwords.
Плохой агент должен будет искать это и перехватывать трафик, подменяя фальшивую страницу входа на сайт, на который вы пытаетесь попасть.
Приложение Passwords не было уязвимым при использовании для входа в приложения или на веб-сайты с помощью функции автозаполнения. Это происходило только при запуске страницы входа в систему из приложения.
Общее использование приложения Passwords вне сети, в которую проник злоумышленник, было безвредным, так как HTTP-запросы автоматически перенаправлялись на HTTPS. Вероятность использования уязвимости в реальных условиях невелика.
Что делать с уязвимостью приложения Passwords
Если вас хоть немного беспокоит эта уязвимость, вы можете предпринять несколько шагов уже сегодня. Самый очевидный из них — обновить операционные системы всех ваших устройств до последней версии.
Вспомните, как вы используете приложение «Пароли». Если вы никогда не меняли пароль или не пытались войти в систему по ссылке из приложения Passwords, или даже не подозревали о такой возможности, значит, все в порядке.
Если вы все еще беспокоитесь, никогда не помешает сменить пароль для некоторых из ваших наиболее важных учетных записей. Обновите пароли для банковских, почтовых, рабочих и других важных учетных записей.
