Fragwürdige Zwei-Faktor-Apps versuchen Nutzer zum Abschluss von Abos zu locken und greifen womöglich Daten ab. Auch Apples Werbeplattform kommt zum Einsatz.
Augen auf bei Authenticator-Apps fürs iPhone: In Apples App Store gibt es eine größere Zahl an fragwürdigen Apps, die sich als Zwei-Faktor-Apps ausgeben und dafür teils auch die Namen echter Authenticator wie “Authy” einsetzen, um besser über die Suche gefunden zu werden. Die Apps scheinen es vorrangig darauf abzusehen, Nutzer zum Abschließen eines Abonnements zu bringen.
Mindestens eine der Apps sendet die zur Einrichtung der Einmalpasswörter erfassten QR-Codes aber auch an den Google-Analytics-Dienst des Anbieters, berichten Sicherheitsforscher. Ob die in den angeblichen Authenticator-Apps gespeicherten Zugangsdaten ebenfalls an Dritte verschickt werden, bleibt vorerst offen.
Per Werbe-Banner ganz oben in den Suchergebnissen
Neben der Verwendung prominenter Namen von Zwei-Faktor-Apps setzen die Scam-Klone außerdem auf Apples Werbeplattform und erscheinen bei Suchbegriffen wie “Authenticator” dadurch als prominenter Treffer ganz oben. Um Nutzer zum Abschluss des Abos zu bringen, werden gängige Tricks verwendet.
Will man den Abo-Hinweis schließen, erscheint automatisch die Zahlungsfreigabe – bestätigen die verwirrten Nutzer das durch zweimaliges Drücken der Seitentaste, schnappt die Abofalle zu.
Die Scam-Authenticator versuchen offenbar Twitters Ankündigung auszunutzen, dass sich Accounts künftig nicht mehr per SMS-Code schützen lassen. Viele dürften deshalb auf der Suche nach einem Authenticator sein, um ihren Account weiter abzusichern. iPhone-Nutzer haben es allerdings relativ einfach, sie können die Einmalpasswörter auch über den integrierten iCloud-Schlüsselbund beziehen und benötigen keine zusätzliche App dafür.
Entwickler: Apple reagiert nicht auf Beschwerden
Die Scammer nutzen offenbar ein halbwegs funktionierendes App-Projekt als Vorlage und tauschen dann Namen, Icons und Beschreibungstext nach Belieben aus – sowie bei Bedarf auch ihren Entwickler-Account. Die Betrüger haben die perfekte Maschine dafür entwickelt, schreibt der frustrierte Entwickler einer legitimen Authenticator-App. In kurzer Zeit können sie jeweils neue Scam-Apps veröffentlichen und verwenden dafür mitunter Design und Icons seiner App. Bei Apple habe bislang niemand auf die Beschwerden reagiert. Alle Apps müssen Apples Prüfprozess durchlaufen, dort hatte offenbar niemand etwas zu beanstanden.