Flo's Weblog | Apple News and more... Alles über Apple und Gadgets

In den USA ist ein Mann schuldig gesprochen worden, sich zugang zu tausenden von iCloud-Accounts verschafft zu haben, um daraus Nacktbilder von jungen Frauen herunterzuladen, wie die Los Angeles Times berichtet. Der Mann namens Hao Kuo Chi hat die Taten bereits gestanden. Insgesamt hat er sich Zugang zu mehr als 620.000 Bildern und Videos verschafft, indem er Fishing-Mails versendet und sich als Apple Support-Mitarbeiter ausgegeben und die betroffenen Nutzer um die Herausgabe von Apple IDs und zugehörigen Passwörtern gebeten hat. Eine Technik, die auch als Social Engineering bekannt ist. Er hat also nicht Apples-Sicherheitsmaßnahmen für iCloud gehackt.

Offenbar handelte Chi im Auftrag von bislang unbekannten Dritten, die sich an ihn wenden konnten, damit er bestimmte iCloud-Accounts knackte. Hierzu konnte man ihn unter dem Pseudonym "icloudripper4you" kontaktieren, einem Dienst, den er exakt so bewarb, wie er anschließend auch genutzt wurde. Nachdem Chi die Fotos und Videos beschafft hatte, stellte er den Anfragenden einen Dropbox-Link zur Verfügung, wie diese dann heruntergeladen werden konnten. Außerdem betrieb er zwei Gmail-Konten namens "applebackupicloud" und "backupagenticloud", in denen das FBI mehr als 500.000 E-Mails mit den Apple IDs und Passwörtern von 4.700 ?iCloud?-Nutzern fanden.

Das Vorgehen erinnert stark an den 2014 bekannten Angriff auf verschiedene iCloud-Konten von Prominenten, was letztlich unter dem Begriff "The Frappening" bekannt wurde. Nach diesem Vorfall erhöhte Apple die Sicherheitsmaßnahmen für iCloud und führte unter anderem die Zwei-Faktor-Authentifizierung ein. Zudem werden E-Mails an die Nutzer verschickt, wann immer eine Anmeldung am eigenen ?iCloud?-Account stattfindet. Es wird davon ausgegangen, dass die Nutzer im aktuellen Fall keine Zwei-Faktor-Authentifizierung aktiviert hatten. Hierzu kann ich all meinen Lesern nur raten, falls dies noch nicht der Fall ist. Apple erklärt die Einrichtung ebenso in einem Support-Dokument, wie auch wie man Phishing-Mails und andere Social Engineering Angriffe erkennt und sich dagegen wehrt.