Vorsicht vor Phishing-Links: Sicherheitslücke in iOS QR-Code Reader noch nicht behoben
Wer QR-Codes die Links zu Webseiten enthalten mit der Kamera App seines iPhones oder iPads scannt muss vorsichtig sein: Eine seit Ende letzten Jahres bekannte Sicherheitslücke des QR-Code Readers wurde von Apple bis heute noch nicht geschlossen.
Darauf weist der Wordpress-Blogs infosec hin und demonstriert den Bug mit einem praktischen Beispiel. In einem QR-Code kann man eine Telefonnummer, Adresse und andere Informationen wie z. B. den Link zu einer Webseite ablegen. Durch einfaches Scannen mit der Kamera erhält man auf dem Display die gewünschten Daten angezeigt, bei einer URL erfolgt die Weiterleitung zu Safari. Bis zum Release von iOS 11 war zum Auslesen von QR-Codes die App eines Drittanbieters notwendig. Mit der aktuellen Version des mobilen Betriebssystems übernimmt diese Aufgabe die Kamera App des iPhones oder iPads.
So weit, so gut. In der Praxis funktioniert Apple's Lösung auch einwandfrei. Ende 2017 wurde allerdings ein Bug bekannt den Betrüger ausnutzen können um im QR-Code einen anderen Link als Ziel zu definieren und so Phishing ermöglicht. Scannt man einen Code erscheint auf dem Display eine Meldung in der das Ziel des Links angezeigt wird. Diese muss man bestätigen und man wird anschließend auf die jeweilige Webseite weitergeleitet. Die QR-Funktion in iOS prüft allerdings nicht, ob der Ziel-Link der mit Safari angesurft wird auch derjenige ist den der Nutzer bestätigen muss.
Bei infosec hat man einen solchen QR-Code gebastelt um den Fehler aufzuzeigen. Nach dem Scannen des Codes kommt die Meldung dass man auf Facebook weitergeleitet wird. Nach der Bestätigung öffnet sich Safari und man landet auf dem Blogartikel von infosec. Zwar hat man bei infosec den Code unter iOS 11.2.1 getestet, wir können den Bug allerdings mit einem aktuellen iOS 11.2.6 reproduzieren. Den QR-Code zum Testen findet ihr in unserer Galerie, ihr könnt das Experiment gefahrlos ausprobieren.
Bis der Bug mit einem iOS-Update gefixt wurde empfehlen wir euch bei gescannten Links unbedingt zu überprüfen ob ihr auf der richtigen Webseite gelandet seid, vor allem wenn es sich um Bankgeschäfte mit Paypal oder eurer Hausbank handelt.
Das könnte dich auch interessieren
Weitere Geschichten aus iOS.
EU warnt Meta vor 12,5-Milliarden-Geldstrafe wegen suchtfördernder App-Designs
Die Europäische Kommission wirft Meta vor, Facebook und Instagram durch Endlosscrollen und Autoplay bewusst süchtig machend zu gestalten. Bei einem Verstoß gegen den Digital Services Act droht eine Rekordbuße.
Apple fertigt Chips unter Druck bei Intel in den USA
Apple hat unter erheblichem politischen Druck einen Fertigungsdeal mit Intel abgeschlossen. Ziel war vor allem die Abwendung drohender Importzölle, nicht eine Neuausrichtung der Chipproduktion.
iPhone 18 Pro: Leaker berichten von dickerem Gehäuse, mehr Gewicht und fehlendem Schwarz
Mehrere Leaker deuten auf drei Design-Anpassungen beim iPhone 18 Pro hin: Eine potenzielle Verdickung des Gehäuses, ein höheres Gesamtgewicht und eine reduzierte Farbpalette ohne Schwarz-Modell.
Teurere Bauteile: Apple rechnet mit höheren Kosten für das iPhone 18 Pro Max
Die Materialkosten für das kommende iPhone 18 Pro Max steigen durch teure Speicherchips und den neuen 2-Nanometer-Chip massiv an. Experten gehen davon aus, dass Apple die Verkaufspreise im Schnitt um 200 Dollar anheben muss.
iPhone 18 Pro Max: Gewicht und Dicke steigen durch massiven Akku
Mit dem iPhone 18 Pro Max kehrt Apple bei den Spezifikationen zu älteren Werten zurück. Das neue Flaggschiff wird durch einen vergrößerten Akku deutlich schwerer und dicker als der direkte Vorgänger.
iPhone Ultra: Lieferkette bestätigt September-Start
Frische Meldungen aus der Apple-Lieferkette widerlegen die jüngsten Verzögerungs-Gerüchte. Das faltbare iPhone Ultra kommt pünktlich im September 2026 auf den Markt, doch extreme Lieferengpässe und Wartezeiten von mehreren Wochen bleiben wahrscheinlich.
Kommentare
Sei der Erste, der hier kommentiert.
Du musst angemeldet sein, um zu kommentieren.