Gehackt iCloud-wachtwoord leidt tot 1 jaar compleet dataverlies

Voormalig Gizmodo-redacteur Mat Honan is slachtoffer geworden van een hack. Het voorval laat zien dat het hacken van je iCloud-account rampzalige gevolgen kan hebben als allerlei online diensten onderling zijn gekoppeld. Door toegang te krijgen tot het iCloud-wachtwoord konden de hackers Mat’s iPhone en iPad op afstand wissen. Ook slaagden de hackers erin Mat’s Gmail-wachtwoord te resetten en kregen ze toegang tot het Twitter-account van Gizmodo met ruim 400.000 volgers, waar ze racistische en beledigende teksten publiceerden. Mat raakte een jaar aan foto’s, e-mails en documenten kwijt. Hoe kon het misgaan?

Mat gebruikte voor iCloud een uniek wachtwoord van zeven karakters. Op het moment dat hij het bedacht, leek dat een veilige keuze. Hij gebruikte het wachtwoord nergens anders, maar had geen gewoonte ervan gemaakt om het regelmatig te veranderen. Mat denkt dat de hackers een brute force-aanpak hebben gebruikt om het wachtwoord te achterhalen. Met zeven karakters is dat haalbaar.

Een andere kapitale fout die Mat maakte is om te vertrouwen op de iCloud-backups. Zodra iemand jouw iCloud-wachtwoord achterhaalt, kan hij toegang krijgen tot Find My iPhone/Mac en op afstand al je iOS-apparaten én je MacBook met lokale back-ups wissen. Dat was ook hoe Mat ontdekte dat er iets aan de hand was: hij was met zijn dochter aan het spelen en zag opeens dat zijn iPhone uitschakelde, herstartte en terechtkwam op het instellingenscherm. Op dat moment maakte Mat zich nog geen zorgen: het zou wel een softwarefoutje zijn. Toen hij zijn iCloud-gegevens invoerde om een hersteloperatie uitvoerde, kreeg hij een foutmelding. Ook dat leek nog niet rampzalig. Het gebeurt de afgelopen dagen wel vaker dat iCloud even niet bereikbaar is. Maar toen vervolgens het inloggen bij Gmail niet lukte en zijn MacBook Air bleek gewist, begon het te dagen: er was iets flink misgegaan. Mat heeft nog steeds geen toegang tot zijn Gmail, maar kan inmiddels wel zijn iPhone en iPad herstellen. Hij heeft zijn apps en muziek terug, maar is een jaar aan foto’s en documenten kwijt, omdat hij elders geen back-up maakte van de data.

Als iemand toegang krijgt tot je e-mailaccount (bijvoorbeeld Gmail) kan dat nog grotere consequenties hebben. Bij allerlei webdiensten kun je je wachtwoord opvragen via e-mail. Een hacker krijgt op die manier toegang tot misschien wel honderden webdiensten waar je je ooit hebt ingeschreven. In het geval van Mat bleek het eenvoudig om toegang te krijgen tot Mat’s persoonlijke Twitter-account. Die bleek jaren geleden te zijn gekoppeld aan Gizmodo’s Twitter-account, waardoor de hackers ook daar kwalijke teksten konden achterlaten.

Het voorbeeld van Mat Honan laat zien hoe handige diensten zoals Find My iPhone zich tegen je kunnen keren als je wachtwoord in verkeerde handen valt. Het laat ook zien hoe belangrijk het is om een sterk wachtwoord te gebruiken voor essentiële accounts waar veel kwaad mee aangericht kan worden, zoals iCloud of Gmail. Gebruik daarom sterke wachtwoorden, die je kunt genereren met tools als 1Password. Ben je bang dat je moeilijke wachtwoorden niet zult onthouden, dan zijn er gelukkig apps voor, zoals we in een eerder artikel hebben uitgelegd.

Apple heeft op de website een pagina over beveiliging van iCloud-gegevens, maar al die encryptie is zinloos als iemand toegang krijgt tot je wachtwoord. Apple vereist bij het aanmaken van een iCloud-account overigens een wachtwoord van 8 karakters, voorzien van minimaal een cijfer, hoofdletter en kleine letter. Bovendien geven ze aan dat het gebruik van een wachtwoord de belangrijkste maatregel is om je gegevens veilig te houden.