Apple zwingt Benutzer zum Zurücksetzen von ID-Passwörtern, und niemand weiß, warum
Ich bin heute Morgen früh aufgewacht und habe, wie Millionen andere auch, als erstes auf meinem iPhone nach Nachrichten, Wetterberichten und Nachrichten gesucht. Im Gegensatz zu jedem anderen Tag wurde ich jedoch von meiner Apple-ID abgemeldet und musste nicht nur mein Passwort erneut eingeben, sondern es durch ein neues ändern. Es scheint, dass ich nicht allein bin.
Obwohl auf der Apple-Systemstatusseite überhaupt keine Probleme gemeldet werden, scheint dies weit von der Wahrheit entfernt zu sein. Ein kurzer Blick auf die sozialen Medien genügt, um zu erkennen, dass dies im großen Stil geschieht. Tatsächlich erzählte mir mein Kollege Zak Doffman, der auch für die Rubrik „Cybersicherheit“ bei Forbes arbeitet, dass ihm das Gleiche passiert sei.
Das Problem scheint am späten Freitag, dem 26. April, aufgetreten zu sein, als Berichte über Benutzer gemeldet wurden, die von ihren Apple-IDs abgemeldet wurden. Dies ist nicht gerätespezifisch und scheint sich auf Benutzer von iPhones, iPads und MacBooks auszuwirken.
Als sicherheitsbewusster Mensch dachte ich sofort, dass etwas nicht stimmte, da es in letzter Zeit einige Angriffe gab, bei denen Passwörter zurückgesetzt wurden. Wie meine Kollegin Kate O’Flaherty im März berichtete, basieren diese jedoch auf einer Methode der Zwei-Faktor-Authentifizierung „Bombing“, während die aktuelle Situation ein reines „Passwort zurücksetzen“ ist, ohne dass irgendetwas anderes involviert ist. Die Angreifer des 2FA-Bombenangriffs antworteten mit einem Anruf und gaben vor, der Apple-Support zu sein, aber ich habe keinen solchen Anruf erhalten und habe auch keine Berichte darüber gelesen, dass jemand anderes sie erhalten hat.
Das Problem bedeutet auch, dass Benutzer sich nicht nur auf allen Geräten erneut anmelden, sondern auch alle App-spezifischen Passwörter zurücksetzen müssen. Derzeit ist nicht bekannt, ob es sich hierbei um einen Fehler oder einen Sicherheitsvorfall handelt. Ich habe Apple um eine Stellungnahme gebeten und werde diese aktuelle Meldung aktualisieren, sobald ich weitere Informationen habe.
„Wenn etwas aus heiterem Himmel eintrifft, etwa eine Passwort-Zurücksetzung oder eine Anfrage nach einem Einmal-Passwort, ist es wichtig, weitere Nachforschungen anzustellen und nach Möglichkeit zu recherchieren, bevor man gegebenen Aufforderungen folgt“, sagte Jake Moore, globaler Cybersicherheitsberater bei ESET. „Das scheint ein echter Fehler zu sein, da so viele davon betroffen waren. Auch wenn es mühsam ist, ist es tatsächlich oft eine gute Idee, von Zeit zu Zeit oder nach einem Datenverstoß alle angeschlossenen Geräte zurückzusetzen und ein Passwort zu ändern. Beim Umgang mit unerwünschten Benachrichtigungen ist jedoch die gebotene Sorgfalt von entscheidender Bedeutung, und MFA sollte standardmäßig für alle Konten aktiviert sein.“