苹果 Passwords 应用曝出已修复漏洞：并非“密码库泄漏”，但曾存在钓鱼攻击风险

苹果 Passwords 应用曝出已修复漏洞：并非“密码库泄漏”，但曾存在钓鱼攻击风险

• 来源：Apple Security、The Verge
• 修复版本：iOS 18.2 / iPadOS 18.2
• 修复发布时间：2024-12-11
• 外媒集中报道时间：2025-03-18

苹果近期被讨论的“密码泄漏”新闻，严格来说并不是 Apple 账号密码数据库遭大规模外泄，而是其 Passwords 应用曾存在一项已修复的安全漏洞。根据 Apple 官方安全说明，Passwords 组件当时存在两类问题：一是“处于特权网络位置的用户”可能导致敏感信息泄露，二是攻击者可能篡改网络流量；Apple 在 iOS 18.2 / iPadOS 18.2 中通过改用 HTTPS 完成修复。

外媒随后披露称，这一问题自 iOS 18 发布后 即已存在，直到 2024 年 12 月 11 日 随 iOS 18.2 修复，影响窗口约为三个月。核心风险不是 Apple 自身服务器中的密码被整体窃取，而是 Passwords 应用在获取网站图标、打开相关链接时曾使用未加密 HTTP 请求，使得与用户处于同一网络环境、且具备中间人能力的攻击者，有机会把用户重定向到伪造登录页面，进而实施钓鱼。

这一区别非常关键。若表述为“苹果密码泄漏”，容易让读者误以为 Apple 官方的密码存储系统被攻破；但从目前公开资料看，更准确的说法应是：Passwords 应用曾暴露出网络传输层面的安全缺陷，增加了用户遭遇钓鱼攻击和凭证被窃取的风险。 这意味着风险主要出现在特定网络场景下，而非所有 Apple 用户都已经发生密码外泄。

对于用户而言，这类漏洞的危险性依然不低。密码管理器本身就是高敏感入口，一旦跳转链路被劫持，用户可能在假冒站点中输入账号、密码乃至双重验证信息，继而引发账号接管、撞库攻击和更多连锁安全问题。Apple 当前也持续建议用户尽快安装最新系统更新。

从产业视角看，这件事也反映出一个现实：即便是平台级厂商自带的密码管理工具，也仍然要面对最基础的传输安全和默认配置问题。对 Apple 来说，Passwords 是其在 iOS 18 中重点强化的系统级工具之一，此次漏洞虽然已经修复，但也会影响外界对其安全工程质量和默认可信度的判断。这个话题之所以值得关注，不在于“耸动的大规模泄漏”，而在于它提醒用户：密码管理器的风险，不只在于数据库是否被盗，也在于访问链路是否足够安全。

配图建议

方案一：Apple Passwords 应用界面

• 用途：适合做新闻首图，主题明确，不会误导为“Apple 服务器被黑”。
• 建议说明：苹果在 iOS 18 中推出独立的 Passwords 应用；近期被关注的安全问题，涉及该应用曾存在的网络请求漏洞，现已在系统更新中修复。
• 参考来源：Apple Support 的 Passwords 相关支持页面

方案二：iPhone 上的 Passwords 应用操作界面

• 用途：适合站内资讯、快讯首图或社媒配图。
• 建议说明：公开资料显示，该漏洞核心风险在于未加密网络请求可能被同网段攻击者利用，从而诱导用户访问伪造登录页面。

参考链接

1. Apple Security — About the security content of iOS 18.2 and iPadOS 18.2
   https://support.apple.com/en-us/121837
2. The Verge — Apple has revealed a Passwords app vulnerability that lasted for months
   https://www.theverge.com/news/632108/apple-ios-passwords-app-bug-vulnerability-phishing-attacks