Apple: iCloud-Hacker nutzten gezielte Angriffe
Die Berichte über die Angriffe auf die iCloud-Konten von mehreren Prominenten hat Apple mittlerweile bestätigt. Interne Ermittlungen hätten ergeben, dass die Hacker gezielte Angriffe unternahmen, um an die Nacktaufnahmen zu gelangen. Eine Ausnutzung einer Schwachstelle in Apple-Systemen wie iCloud schließt der iPhone-Hersteller aus.
“Nach einer über 40-stündigen Untersuchung haben wir herausgefunden, dass bestimmte Konten von Prominenten kompromittiert wurden durch einen sehr gezielten Angriff auf Benutzernamen, Passwörter und Sicherheitsabfragen, eine im Internet inzwischen leider nur zu verbreitete Praxis”, heißt es in einer Erklärung des iPhone-Herstellers. In keinem der untersuchten Fälle sei ein erfolgreicher Angriff auf Apples Systeme durch den Missbrauch einer Schwachstelle erfolgt.
Der iPhone-Hersteller kooperiert zudem weiter mit den Ermittlungsbehörden und will sie bei der Identifizierung der Täter unterstützen. “Wir waren schockiert, als wir von dem Diebstahl erfuhren, und haben sofort Apples Experten mobilisiert, um die Ursache herauszufinden. Die Privatsphäre und Sicherheit unserer Kunden ist für uns von größter Bedeutung.” Zur Vermeidung solcher Angriffe empfiehlt Apple allen Nutzern, “immer ein starkes Passwort zu nutzen und Zwei-Faktor-Authentifizierung zu aktivieren”.
Über 100 Konten von Prominenten konnten die Angreifer knacken. Sie entwendeten unter anderem Nacktfotos der Schauspielerinnen Jennifer Lawrence (Hunger Games), Kirsten Dunst (Spider Man), Michelle Keegan (Coronation Street) und der Sängerin Ariana Grande. Anschließend veröffentlichten sie die Fotos in einschlägigen Foren wie 4chan. Die Echtheit der Aufnahmen haben viele bereits bestätigt. Aber Trittbrettfahrer scheinen auch Fälschungen zu veröffentlichen.
Nach bisherigen Erkenntnissen schließt Apple zwar eine eigene Schwachstelle als Angriffspunkt aus, aber bestreitet nicht die Vermutung, dass das veröffentlichte Material aus iCloud-Backups stammt. Mittlerweile legen mehrere Berichte den Fokus auf eine halböffentliche Szene von Hackern, die sich auf das Entwenden von Nacktbildern spezialisiert haben – und auf die Apples iCloud eine besondere Anziehungskraft hat.
Da das iPhone im Gegensatz etwa zu Windows Phone standardmäßig ein Backup von Bilder erstellt, ist iCloud dem Sicherheitsberater Nick Cubrilovic zufolge ein beliebtes Ziel. Zudem scheinen Apple-Konten besonders anfällig zu sein, da die Passwortwiederherstellung in einzelne Schritte unterteilt ist und somit Angreifern nützliche Hinweise liefern kann. Er empfiehlt, die Wiederherstellung in einem großen Schritt durchzuführen, bei dem alle eingegebenen Daten auf einmal verifiziert werden – und der Nutzer keine spezifischen Fehlermeldungen erhält.
Wired berichtet von einer für Ermittlungsbehörden gedachten Software namens EPPB oder Elcomsoft Phone Password Breaker, die den Download sämtlicher Daten eines Opfers aus iCloud-Backups erlaubt. Zusammen mit Zugangsdaten, die etwa mit dem kürzlich veröffentlichten Crackertool iBrute zu bekommen waren, konnte demnach jeder mit EPPB das iPhone eines Opfers vortäuschen und das gesamte Backup herunterladen – und nicht nur die in begrenzterem Umfang zugänglichen Daten auf iCloud.com. “Hacke ihr Passwort mit dem Skript – und setzte eppb für den Download des Backups ein”, empfahl ein anonymer Nutzer im einschlägigen Forum Anon-IB. “Veröffentliche deine Beute hier ;-)”
Für Apple kommt die Debatte um die Sicherheit von iCloud zu einem besonders unangenehmen Zeitpunkt. Es steht kurz vor der Präsentation seiner neuen iPhone-Generation, die wahrscheinlich noch weit stärker auf den Cloud-Speicherdienst setzt. Es wird nächste Woche voraussichtlich auch einen NFC-gestützten Bezahldienst sowie eine Smartwatch ankündigen, die Daten für seinen Gesundheitstracker HealthKit erfasst. Mit diesen Angeboten ist der iPhone-Hersteller erst recht auf das Vertrauen seiner Kunden in die Sicherheit von iCloud angewiesen.
[mit Material von Bernd Kling, ZDNet.de]
Tipp: Wie gut kennen Sie Apple? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.