Eine Schwachstelle in Apples „E-Mail-Adresse verbergen“-Funktion kann ausgenutzt werden, um die E-Mail-Adresse hinter einem erzeugten Alias zu ermitteln. Deswegen strebt Anthony Alvarez eine Sammelklage an. In seiner Klageschrift wirft er Apple irreführende Werbung, Betrug und Vertragsbruch vor.
Eine Sicherheitslücke ohne belegten Angriff
„E-Mail-Adresse verbergen“ gehört zu iCloud+ und erzeugt zufällige Alias-Adressen, die eingehende Nachrichten an das eigentliche Postfach weiterleiten. Der Sicherheitsexperte Tyler Murphy hatte eine Schwachstelle in der Apple-Funktion entdeckt. Letztlich sollen sich die echten E-Mail-Adressen ohne großen Aufwand aufdecken lassen.
Der Mitgründer des Dienstes EasyOptOuts meldete das Problem samt einer Anleitung zum Nachstellen an Apple. Bei Tests mit Freiwilligen ließen sich Murphy zufolge alle geprüften Adressen aufdecken. Nachdem Murphy die Sicherheitslücke im vergangenen Jahr entdeckt und gemeldet hatte, bestätigte Apple im vergangenen März, das Problem mit einer Systemänderung behoben zu haben. Murphy konnte mit seiner Methode jedoch weiterhin die E-Mail-Adressen aufdecken. Im Mai soll Apple ihn darum gebeten haben, bis zum Abschluss der Prüfung den Fall nicht publik zu machen, damit der Fehler rechtzeitig behoben werden kann. Ende Mai kündigte Apple dann ein Sicherheitsupdate an, das in den kommenden Wochen veröffentlicht werden sollte. Bis heute ist die Lücke jedoch nicht geschlossen.
Eine geplante Sammelklage fordert nun eine landesweite Entschädigungszahlung für die Existenz der Sicherheitslücke. Anthony Alvarez reichte die Klage gegen Apple am 15. Juli beim US-Bezirksgericht für den nördlichen Bezirk von Kalifornien ein. In der Klageschrift werden dem Unternehmen irreführende Werbung, Betrug, Vertragsbruch und weitere Verstöße durch die Vermarktung von „E-Mail-Adresse verbergen“ vorgeworfen.
In der Klageschrift wird argumentiert, dass Apple seinen Kunden Datenschutz versprochen habe, der nicht gewährleistet wurde. Allerdings wird weder in der Beschwerde noch in den öffentlichen Berichten ein bekannter böswilliger Angriff unter Ausnutzung dieser Schwachstelle erwähnt. Alvarez behauptet nicht, dass jemand seine E-Mail-Adresse aufgedeckt oder missbraucht, ihm unerwünschte Nachrichten gesendet oder die Schwachstelle anderweitig zu seinem Nachteil ausgenutzt habe. Die Vorwürfe wurden noch nicht vor Gericht geprüft.
Unser Freund will also mehrfach Kohle von Apple abgreifen.
Da sich wie oben berichtet Apple gemeldet hat wird mit großer Wahrscheinlichkeit das Apple Bug Bounty Program schon eine Zahlung angewiesen , einmal dann nochmal. Jetzt verklagt er noch Apple weil es ihm nicht gefällt wie Apple das Problem löst und will nochmals Geld.
Wer so gierig ist hat beim ersten Versuch schon die Forderungen auf die Spitze getrieben und Apple mit Sicherheit nicht alle Informationen gegeben die nötig waren um das Problem zu beheben.