Mat Honan legt uit hoe fouten bij Apple en Amazon leidden tot iCloud-hack

Mat Honan, de voormalige Gizmodo-blogger die dit weekend werd gehackt, heeft een uitgebreid artikel voor Wired geschreven. Daarin legt hij uit hoe hij slachtoffer kon worden van persoonlijke hack, waardoor hij niet alleen zijn Twitter-account kwijtraakte, maar ook toegang tot zijn Gmail-account en belangrijke back-ups verloor. Mat trok de aandacht van de hackers vanwege zijn korte Twitter-naam @mat. daarna hadden de hackers nog maar een paar gegevens nodig, die ze gemakkelijk konden opsporen: het e-mailadres dat Honan als Apple ID gebruikt, het factuuradres en de laatste vier cijfers van zijn creditcard. Slordige beveiligingsmaatregelen bij Apple en Amazon deden de rest.

De hackers kregen daardoor toegang tot Honan’s Twitter-, Google- en iCloud-account, wisten alle content op de iPhone, iPad en MacBook, inclusief foto’s van zijn dochtertje. Apple heeft beloofd om het proces om wachtwoorden te resetten strenger te maken, maar tijdens het weekend bleken de workarounds nog steeds te werken, zo ontdekten Wired-redacteuren die de proef op de som namen. Het achterhalen van je wachtwoord met brute rekenkracht is niet eens nodig om accounts te hacken. Social engineering speelde een belangrijker rol: Apple’s supportmedewerkers gaven de hackers toegang tot Honan’s iCloud-account. Daarna gaf Amazon’s supportafdeling de vier cijfers van de creditcard. Maar dat is nou net de informatie die Apple gebruikt om bepaalde informatie vrij te geven.

Voor Amazon zijn de laatste vier cijfers onbelangrijke informatie, omdat ze er vanuit gaan dat je daaruit niet een compleet creditcardnummer kan afleiden. Maar Apple vindt de vier cijfers voldoende om aan de telefoon te controleren of iemands identiteit klopt. Cloud-gebaseerde systemen hebben meer beveiliging nodig dan een simpel wachtwoord, die op een of andere manier achterhaald kan worden.