L’app Passwords di Apple ha presentato una vulnerabilità critica che avrebbe potuto esporre gli utenti ad attacchi di phishing negli ultimi 3 mesi. Il problema? L’app richiamava siti web utilizzando il protocollo HTTP non sicuro, invece di affidarsi esclusivamente a HTTPS. Questo ha aperto la porta a possibili intercettazioni e attacchi man-in-the-middle, mettendo a rischio le credenziali salvate.
Un bug inaccettabile per un gestore di password
Con l’introduzione di iOS 18, Apple ha reso il suo gestore di password un’app standalone, semplificando la gestione delle credenziali. Tuttavia, come rivelato dai ricercatori di sicurezza di Mysk, la versione iniziale dell’app ha presentato una vulnerabilità inquietante: circa 130 siti web venivano contattati tramite connessioni HTTP non cifrate, lasciando spazio a possibili attacchi informatici.
In pratica, quando Passwords scaricava le icone dei siti o apriva le pagine di reset delle password, lo faceva con richieste HTTP invece di HTTPS. Questo significava che, su reti Wi-Fi pubbliche o compromesse, un hacker poteva intercettare il traffico e reindirizzare l’utente verso siti di phishing.
Attacco dimostrato e critiche ad Apple
Mysk ha dimostrato con un test pratico come un malintenzionato potesse facilmente sfruttare questa falla. Bastava trovarsi sulla stessa rete Wi-Fi della vittima, come in un aeroporto o in un bar, per intercettare le richieste HTTP e deviarle verso siti fasulli, progettati per sottrarre credenziali di accesso.
I ricercatori hanno criticato Apple per non aver implementato HTTPS obbligatorio fin dall’inizio e per non aver fornito un’opzione che impedisse il download automatico delle icone dei siti, riducendo il rischio di esposizione.
La patch è arrivata (in silenzio) con iOS 18.2
Apple ha corretto la vulnerabilità con l’aggiornamento iOS 18.2, rilasciato a dicembre 2024, ma senza annunciare ufficialmente la falla fino a pochi giorni fa. Con questa patch, l’app Passwords ora utilizza esclusivamente HTTPS per tutte le connessioni, eliminando il rischio di intercettazioni.
Cosa fare ora? Se usi Passwords su iPhone o iPad, verifica di avere installato almeno iOS 18.2 per evitare di esporre le tue credenziali a possibili attacchi.
Apple ha risolto il problema, ma la domanda resta: come è possibile che un errore così grave sia sfuggito ai controlli su un’app destinata alla gestione sicura delle password?