iCloud ripetutamente violato

Nei giorni scorsi l'editorialista di Wired, Mat Honan, aveva raccontato sul suo blog di essere stato vittima, della violazione del proprio account iCloud da parte di un "hacker", di nome Phobia, con tanto di cancellazione remota di tutti i dati dei suoi dispositivi Apple iPhone, iPad e MacBook Air.

Mat Honan

Il termine "hacker" è con le virgolette non a caso: l'aspetto più inquietante della vicenda, infatti, è che costui non ha fatto ricorso a complesse e sofisticate tecniche informatiche, bensì ha semplicemente telefonato al servizio assistenza di Apple, fingendo di essere Honan stesso e, riuscendo a bypassare la necessaria domanda di sicurezza grazie alle ultime quattro cifre della sua carta di credito, è riuscito a far reimpostare la password dell'account del giornalista e ottenerne così il controllo completo.

Quanto riportato da Honan è confermato direttamente da Cupertino oltre che dall’hacker stesso, messosi anonimamente in contatto con la “vittima”.

Oggi Natalie Kerris, un portavoce di Apple, conferma ufficialmente l'errore:

"Apple prende la privacy degli utenti molto seriamente, e richiede multiple forme di verifica prima di effettuare il reset della password di un Apple ID. In questo caso particolare, i dati del cliente sono stati compromessi da una persona che aveva avuto accesso alle informazioni confidenziali del cliente. In più, abbiamo scoperto che le nostre policy interne non sono state del tutto seguite. Stiamo rivedendo tutti i nostri processi per il reset della password per essere sicuri che i dati dei nostri clienti siano protetti."

Ciò che spaventa sul serio è che quelli di Wired siano riusciti, con tecniche analoghe, a riprodurre la stessa violazione su un altro account iCloud:

"Lunedì, Wired ha tentato di verificare la tecnica di accesso degli hacker eseguendola su un account diverso. Ci siamo riusciti. Ciò implica, in ultima istanza, che oltre all'indirizzo mail di qualcuno basta avere altre piccole informazioni facilmente reperibili: cose come un indirizzo di fatturazione o le ultime quattro cifre della carta di credito su di un file."

Pertanto, per ottenere le credenziali per re-impostare una password, bastano l’indirizzo e-mail associato, un indirizzo di fatturazione e le ultime quattro cifre della carta di credito. Sicuramente troppo poco per un sistema che, secondo Apple, baserebbe la propria attenzione proprio sulla sicurezza dei dati dei clienti.