23.07.2012
Manipulierte In-App-Käufe
Russische Hacker fordern Apple heraus
Mac App Store: Hacker umgehen den Bezahlvorgang
Als Mitte Juli bekannt wurde, dass Hacker Apple ausgetrickst hatten, war die Aufregung groß. Der russische Entwickler Alexey Borodin hatte einen Weg gefunden, In-App-Käufe auf iOS-Geräten ohne Bezahlung durchzuführen. Vor allem bei Apple schrillten daraufhin die Alarmglocken, wie ein Statement des Konzerns nahelegt. Die Sicherheit des App Stores sei "für das Unternehmen und für die App-Entwickler unglaublich wichtig", erklärte eine Sprecherin. Man nehme Berichte über betrügerische Aktivitäten sehr ernst und untersuche die Angelegenheit.
Der Trick funktioniert so: Abfragen der Apps an Apple-Server werden auf einen Rechner der Hacker umgeleitet. Der sendete der jeweiligen App dann die Mitteilung, der vom Anwender angefragte In-App-Kauf sei bereits bezahlt. Daraufhin wurden die innerhalb der App gekauften Zusatzprogramme oder Programmbestandteile freigeschaltet
Nach einer Woche Arbeit konnte Apple einen Teilerfolg melden: App-Entwicklern wurde eine Anleitung bereitgestellt, die ihnen helfen sollte, ihre Apps gegen die von den Hackern verwendete Methode abzusichern. In Apps, die nach Apples Anleitung abgesichert werden, funktioniert diese Methode nun nicht mehr.
Die kommende iOS-Version 6 soll ab Werk gegen den In-App-Diebstahl abgesichert sein. Noch ist diese Version des Betriebssystems aber nicht offiziell erschienen, Experten rechnen mit einer Veröffentlichung im Spätsommer.
Doch kaum hatte Apple die Entwickler mit seinen Maßnahmen beruhigt - die russischen Hacker hatten die Wirksamkeit bestätigt -, schoben die Angreifer den nächsten Hack nach. Der ermöglicht In-App-Käufe ohne Bezahlung in Mac-OS-X-Apps. Die Methode scheint der beim iOS verwendeten ähnlich zu sein.
Die Hacker geben sich selbstbewusst und sind überzeugt, dass es Apple nicht so schnell gelingen wird, die von ihnen genutzte Sicherheitslücke zu stopfen. "Wir warten noch auf Apples Reaktion, und wir haben noch einige Karten in der Hand", tönen die russischen Hacker in ihrem Blog.
Vorläufig jedenfalls kann man ihre Tricks weiterhin nutzen. Das sollte man aber nicht. Schon aus dem einfachen Grund, dass man die App-Entwickler um ihre Einkünfte betrügt. Und wem das nicht als Motivation reicht, seine In-App-Käufe zu bezahlen: Das System könnte durchaus auch in der Lage sein, Informationen aufzuzeichnen, die man an Apples App Store überträgt - zum Beispiel den Nutzernamen und das Passwort.
mak
