So funktioniert der Angriff
Das Erbeuten dieser Daten gelang erschreckend einfach und es braucht dafür noch nicht mal direkten Zugriff auf das Headset. Stattdessen lassen sich die Augenbewegungen des virtuellen Avatars des Benutzers analysieren. Dieser entsteht durch das Scannen des Gesichts beim Einrichten der Apple Vision Pro. Diese Avatare sind dann während Videocalls und Livestreams bei Zoom, Teams, Slack und FaceTime zu sehen – inklusive der Augenbewegungen. Die Forschenden entwickelten zunächst eine Methode, um zu erkennen, wann ein User tippt. Dafür werteten sie die Augenbewegungsmuster seines Avatars aus. Dann kam ein neuronales Netzwerk zum Einsatz: Gefüttert mit Daten von 30 Personen, die mit ihren Avataren tippten, konnte dieses System anschließend identifizieren, welche Tasten jemand auf der virtuellen Tastatur der Apple Vision Pro gerade ansieht. Zusätzliche Berechnungen halfen dabei, die Position und Größe der virtuellen Tastatur zu bestimmen, ohne die individuellen Tippgewohnheiten des Benutzers oder die Tastaturkonfiguration zu kennen.
So könnten Hacker die Schwachstelle ausnutzen
Zwar ist dieser Hack im Labor entwickelt worden und nicht im echten Leben von Cyberkriminellen. Doch theoretisch könnte das während eines Zoom-Calls so passieren: Sie sind in einer Videokonferenz und bekommen eine Datei von einem anderen Teilnehmer geschickt. Sie klicken darauf und loggen sich dann in Ihr Google- oder Microsoft-Konto ein. Der Angreifer könnte dann ihren Avatar währenddessen aufzeichnen. Mit der oben beschriebenen Methode wäre es ihm möglich, Ihr Passwort zu entschlüsseln und unbefugten Zugriff auf Ihr Konto zu erlangen.
Reaktion von Apple: Schnelles Handeln sichert Nutzerdaten
Nachdem die Forschenden ihre Ergebnisse im April 2024 an Apple gemeldet hatten, reagierte der Technologiegigant prompt. Ende Juli veröffentlichte Apple ein Softwareupdate für die Vision Pro, das die Schwachstelle adressierte. Das Update verhindert nun die Freigabe des Benutzer-Avatars, wenn die virtuelle Tastatur aktiv ist. Ein Sprecher von Apple bestätigte gegenüber Wired, dass das Problem mit der Version 1.3 des Vision OS behoben worden sei. Bekannt wurde der Fall aber erst jetzt. Falls Sie eine Vision Pro haben, sollten Sie das Update dringend installieren. Das Experiment der Wissenschaftler zeigt, wie wichtig die Sicherheit auch im VR-Bereich ist und wie schnell Daten durch neue Technologien gefährdet sein können. Nutzerinnen und Nutzer sollten stets darauf achten, ihre Systeme aktuell zu halten, um sich vor solchen Angriffen zu schützen.
