Apple onderzoekt hack rond gelekte celebrity-foto’s

Apple zegt dat het actief bezig is om te onderzoeken of iCloud-accounts zijn gehackt om naaktfoto’s van beroemdheden te achterhalen. De foto’s en video’s zouden afkomstig zijn van de iCloud-accounts van de bekende sterren, waaronder Jennifer Lawrence. Sommige sterren ontkenden, anderen gaven toe dat de foto’s authentiek waren. Apple-woordvoerster Natalie Kerris gaf een verklaring via het gebruikelijke kanaal, de website Re/code: “We nemen privacy van gebruikers zeer serieus en zijn actief bezig om dit te onderzoeken.”

Als de foto’s echt afkomstig zijn van iCloud-accounts, dan zou het iets te maken kunnen hebben met een script, waardoor wachtwoorden met een brute force-aanval te achterhalen zijn. Daarbij worden in korte tijd veel wachtwoorden geprobeerd, op een geautomatiseerde manier. Apple staat toe dat je een onbeperkt aantal wachtwoorden probeert; het zou beter zijn als het aantal pogingen was beperkt tot bijvoorbeeld 10 keer en dat daarna je account wordt geblokkeerd. Apple heeft dat probleem inmiddels opgelost.

Update: Ook de FBI is bezig het lek rond de gelekte foto’s te bevestigen. Verder heeft Kirsten Dunst min of meer toegegeven dat de gelekte foto’s van haar echt zijn en dat ze via iCloud zijn gelekt: ze bekritiseerde Apple met de woorden “Thank you iCloud” en zette daarachter twee icoontjes die niets te raden overlaten.

Tweestapsverificatie

Het uitlekken van de foto’s was wellicht te voorkomen geweest als de bekende sterren tweestapsverificatie hadden ingeschakeld voor hun iCloud-accounts.

Apple biedt dat aan voor iCloud-accounts, maar was relatief laat met de uitrol ervan. Er wordt ook weinig ruchtbaarheid aan gegeven dat het bestaat. Nederland en België waren pas afgelopen juli aan de beurt. Als je dit inschakelt, heb je altijd een cijfercode nodig, die door je telefoon of een ander vertrouwd apparaat wordt gegenereerd. Als een aanvaller je wachtwoord achterhaalt, kan hij nog steeds niet bij je account, omdat hij de steeds wisselende cijfercode niet weet. De enige manier om toch nog toegang te krijgen tot een account is door het wachtwoord te achterhalen én de telefoon fysiek in handen te krijgen.

Foto hacker: © Andrey Armyagov/Shutterstock