Populaire apps zoals TikTok lezen het klembord van je iPhone

Apps lezen je iPhone-klembord

iOS-ontwikkelaars Tommy Mysk en Talal Haj Bakry gingen op onderzoek uit en ontdekten zo’n 50 apps die de inhoud van je klembord lezen zodra je de app opent. Het klembord bevat op dat moment de laatst gekopieerde tekst en dat kan een wachtwoord of creditcardnummer zijn, maar ook andere privacygevoelige tekst. Als iemand een foto kopieert kan daaruit ook de locatie worden afgeleid.

Daarmee is niet bewezen dat de 50 apps ook iets kwaadaardigs doen met de info. Het zet echter wel de deur open voor misbruik. Apps op iOS en iPadOS krijgen toegang tot gekopieerde data als je de app opent. Meestal is dat gewenst gedrag. Kopieer je namelijk een wachtwoord uit 1Password en blader je vervolgens naar een andere app, dan is het meestal de bedoeling om het wachtwoord meteen daarna te plakken. Volgens Apple is het gewenst gedrag. Maar wat als er nog iets in je klembord staat van een vorige knip- of kopieeractie?

In een blogpost leggen Mysk en Bakry uit wat ze hebben ontdekt. Het gaat om apps zoals Accuweather, Truecaller, Overstock en het al eerder genoemde TikTok. Ook staan er enkele nieuwsapps in de lijst. De ontwikkelaars gebruikten Xcode om het gedrag van apps te analyseren. Ze publiceerden bovendien een proof-of-concept video om te laten zien hoe het werkt. De ontwikkelaars keken alleen naar gekopieerde tekst en niet naar foto’s.

Eerder doken Mysk en Bakry ook al in het probleem. In februari legden ze hun resultaten neer bij Apple, maar kregen echter te horen dat er geen probleem was. Alleen apps die op de voorgrond actief zijn kunnen namelijk het klembord (clipboard) lezen. Het duo maakte vervolgens een widget om te bewijzen dat apps in de Vandaag-weergave ook de inhoud van het klembord kunnen uitlezen. Op de Mac zou het ook werken.

De ontwikkelaars denken dat het misschien te maken heeft met een verouderde library. Ontwikkelaars zijn misschien niet eens op de hoogte dat hun app het klembord leest. Maar Apple kan er natuurlijk wel iets aan doen.