Volgens Apple werden de gelekte naaktfoto’s van beroemdheden niet bemachtigd door een lek in iCloud, maar voerden de hackers een gerichte aanval uit op de gebruikersnamen en wachtwoorden van celebrities.
Apple bevestigt dat de naaktfoto’s van celebrities die op het internet circuleren, verkregen werden via Apple’s iCloud. Volgens de technologiereus is er echter geen sprake van een lek in de opslagdienst. Het zijn de gebruikersnamen en wachtwoorden van de beroemdheden die bemachtigd werden, en daarmee kon ingelogd worden op hun iCloud-accounts, klinkt het.
‘Na een onderzoek van meer dan 40 uur, hebben we ontdekt dat men binnengedrongen is in bepaalde accounts van celebrities middels een zeer gerichte aanval op de gebruikersnamen, wachtwoorden en beveiligingsvragen – een praktijk die heel gebruikelijk geworden is op het internet. In geen van de onderzochte gevallen is er sprake van een lek in de Apple-systemen iCloud of Zoek Mijn iPhone.’
Om gebruikers te beschermen tegen dit soort aanvallen, raadt Apple aan om ‘altijd een sterk wachtwoord en de tweestapsverificatie te gebruiken’. Met tweestapsverificatie beveilig je je account met een sms-bericht of speciale app.
Hackers gebruikten ‘politiesoftware’
Volgens het technologietijdschrift Wired en de website TechCrunch is het juist deze tweestapsverificatie die door de iCloud-hackers omzeild werd, en dit aan de hand van het softwareprogramma ElcomSoft Phone Password Breaker (EPPB). Die software – eigenlijk bestemd voor politie, wetshandhavers en inlichtingendiensten – kan gebruikt worden om een volledige iCloud-backup te downloaden, die niet door tweestapsverificatie beveiligd is. Uit die back-up kunnen bijvoorbeeld foto’s getrokken worden.
Beveiligingsexpert Jonathan Zdziarski bevestigt dat de hackers deze software gebruikten. Hij meent dat er sporen van het programma terug te vinden zijn in de metadata van de betreffende foto’s.
