De onderzoekers die gisteren onthulden dat de iPhone via een iOS-lek is te ontgrendelen ontkennen dat het om een hoax gaat en hebben een nieuwe video gemaakt om hun aanval te demonstreren. Volgens de onderzoekers van Vulnerability Laboratory zijn er in iOS verschillende kwetsbaarheden aanwezig waardoor een aanvaller met fysieke toegang tot een iPhone of iPad de toegangscode kan omzeilen en een update van Apple is nog niet beschikbaar.

De lekken zijn aanwezig in iOS 9.0, 9.1 en 9.2.1 en bevinden zich in links naar de Appstore, Buy More Tones en Weather Channel. Een aanvaller kan hier vervolgens via Siri, de evenementenkalender of de klok-app gebruik van maken. Zo kan een aanvaller via Siri bijvoorbeeld om een niet bestaande app vragen. Siri geeft als antwoord een link naar de Appstore. De aanvaller opent de link en krijgt een beperkt browservenster met verschillende apps te zien. Op dat moment is het via de startknop of Siri mogelijk om naar het startscherm te gaan.

Na publicatie van een eerste video waarin de aanval werd gedemonstreerd stelde de website MacRumors dat het om een hoax ging, omdat de onderzoekers Siri activeren via een vingerafdruk die al op het toestel is geregistreerd. Nu is er een tweede video gemaakt waarin dezelfde aanval wordt gedemonstreerd. "Maar we verwijderen de vingerafdruk om ervoor te zorgen dat die niet gebruikt wordt om toegang tot de iPhone 6 te krijgen", aldus de onderzoekers. "Er werd gezegd dat de vingerafdruk was gebruikt om het browservenster te laten verschijnen, maar dat klopt niet, omdat we hetzelfde zonder vingerafdruk kunnen doen."