Wachtwoord Apple ID te wijzigen met alleen mailadres en geboortedatum (update)

Het is mogelijk om met behulp van een exploit het wachtwoord van een Apple ID te resetten. Hiervoor hoeft de dader enkel de geboortedatum en het e-mailadres van het slachtoffer te kennen. Dit ontdekte The Verge. Apple’s nieuwe tweestapsverificatie kan de exploit voorkomen, maar deze optie is nog niet in Nederland te gebruiken. Apple heeft inmiddels wel de pagina voor het opvragen van je wachtwoord buiten werking gesteld.

The Verge zegt een handleiding te hebben, die uitlegt hoe je tijdens het resetten van een wachtwoord alleen een url hoeft aan te passen om voorbij de volgende beveiligingsopties te komen. Apple is van de exploit op de hoogte gesteld, maar heeft nog niet gereageerd of een oplossing geboden.

De handleiding die het proces beschrijft wordt bewust niet gedeeld. Vermoedelijk is de link die naar de resetter wordt gemaild altijd in zekere zin gelijk, waardoor iemand hem makkelijk samenstellen.

Update 1:
The Verge meldt dat Apple inmiddels de pagina om je wachtwoord op te vragen buiten werking heeft gesteld. “Wegens onderhoud niet beschikbaar”, krijgen gebruikers te zien als ze hun wachtwoord proberen op te vragen. Apple heeft nog niet officieel gereageerd op het beveiligingsprobleem.

Update 2:
Chinese hackers hebben eerder vandaag informatie over het beveiligingslek gepubliceerd op de Chinese hackerswebsite HackDig. Ze hadden daardoor enkele uren de tijd om het beveiligingslek te misbruiken.