Apple AirTags gehacked: Manipulierte URLs können Nutzer in die Falle locken

Die neuen Apple AirTags wurden zusammen mit den neuen iPad Pro 2021-Modellen und dem neuen Apple TV 4K vorgestellt. Ein deutscher Sicherheitsforscher hat die AirTags aber nun auseinandergenommen und manipulieren können und demonstriert damit, wie Nutzer auf andere Webseiten umgeleitet werden können.

Hacker knackt AirTags und speist diese mit neuer Internetadresse

Eigentlich können die neuen AirTags von Apple ja ganz nützlich sein. Verlierst Du einen Gegenstand, kann ein ehrlicher Finder den daran befestigten AirTag auslesen und so den Standort verraten oder sogar Dich kontaktieren. Dazu nutzt Apple das eigene „Find My“-Netzwerk, das durch ein weltweit engmaschiges Netz aus über einer Milliarde aktiver iOS-Geräte besteht. Der deutsche Sicherheitsforscher Stack Smashing hat aber nun einen Weg gefunden, in die AirTags einzudringen und einen manipulierten Link einzuschleusen, der vom Smartphone des Finders aufgerufen wird.

Wie auf seinem Twitter-Account zu sehen ist, musste er dafür allerdings die AirTags physisch aufbrechen und verschaffte sich so Zugang zum Mikrocontroller. Dort konnte er per Reverse-Engineering die Software auslesen und so eine manipulierte Firmware aufspielen. Hält nun ein Nutzer sein Smartphone an den bearbeiteten Apple AirTag, wird dieser zu einer anderen Internetseite, als der Find-My-Webseite von Apple geleitet. Dies könnten sich Hacker beispielsweise zunutze machen, indem manipulierte AirTags verteilt und von ehrlichen Findern gefunden und ausgelesen werden.

Allerdings ist aktuell nicht klar, ob es sich tatsächlich lohnen würde, AirTags teuer zu kaufen und physisch zu knacken, um diese entsprechend vorzubereiten. Einfacher wäre es wahrscheinlich, selbstgebastelte NFC-Tags zu nutzen, die den AirTags von Apple stark ähneln. Diese könnten ebenfalls mit manipulierten Webseiten versehen werden, die weiteren Schaden anrichten. Beispielsweise das Auslesen von Nutzerdaten ermöglichen. Wie effektiv das Ganze im Vergleich zum Aufwand schlussendlich für böswillige Hacker sein könnte, bleibt völlig unklar.