攻撃者は、人の名前とメールアドレスのみを知って、彼のすべてのアカウントにアクセスし、すべてのデバイスの情報をリモートで破壊した方法

本日非常に興味深い記事がwired.comに 掲載されました 。 文字通り1時間で、記事の著者であるMatt HonanはAmazon、GMail、Apple、Twitterアカウントにハッキングし、iPad、iPhone、MacBookの情報をリモートで削除しました。 とりわけ、彼は娘の誕生からのすべての写真、多くの文書、通信のほとんどを失いました。 このストーリーで非常に興味深いのは、攻撃者がどのようにAmazonアカウントとAppleIDにアクセスしたかです。このため、ネットワークで利用可能な情報と電話以外には何も必要ありませんでした。



攻撃者は、マットの3文字のTwitterが好きでした。 それを取得するために、彼は少し調査を行いました。その間に、MatのTwitterアカウントには個人のWebサイトへのリンクが含まれ、Gmailのアドレスが含まれていることがわかりました。 GMailアドレスを取得した攻撃者は、パスワード回復のプロセスを開始しました。 マットには2段階認証がなかったため、Googleは最初のパスワード再設定画面で、難解な代替アドレスm****n@me.comを提供しました。 このパターンをgmailアドレスmhonan@gmail.comと照合することにより、攻撃者は作者のAppleメールを受信しました。

興味深い部分に進むために攻撃者が最初に必要としたのは、Mattのアドレスでした。これは、WhoIsサービスが自分の個人サイトに関する情報で簡単に検出しました。 攻撃者はそのアドレスを持ってAmazonに電話をかけ、自分がアカウントの所有者であり、新しいクレジットカードを追加したいと言った。 攻撃者が実際にアカウントの所有者であることを確認するために、Amazonはアドレス、名前、および電子メール-攻撃者がすでに持っているすべての情報を要求し、専門サイトの1つで事前に生成された存在しないクレジットカードの番号を入力しました。

その後、彼は再びAmazonに電話し、Amazonアカウントにアクセスできなくなったと言いました。 Amazonは名前、住所、クレジットカード番号を要求しました。 この情報を提供した後（前の手順で追加したクレジットカード番号が近づいた）、攻撃者はパスワードをリセットするアカウントに新しいメールアドレスを追加することができました。 Amazonアカウントでは、保存されたクレジットカードのリストを見ることができます。セキュリティ上の理由から、番号の下4桁のみが表示されます。

次に、攻撃者はAppleCareを呼び出し、そこでクレジットカードの名前、住所、最後の4桁を求められ、.meアカウントの一時的なパスワードを与えられます。 このアカウントに対して、攻撃者はGMailからパスワードを回復し、TwitterからGMailにパスワードを回復します。 AppleIdを使用して、Find My PhoneおよびFind My Macサービスを使用して、iPhone、iPad、およびMacBookからすべての情報を削除します。 物語の悲しい終わり。



その後、MattはAppleに連絡しました。この特定のケースでは、内部規制が完全に守られておらず、Appleはユーザーの安全を非常に重視していると言われました。 WiredからのリクエストもAmazonに送信されましたが、これまでに応答が受信されていません。

今日、こうした事態が発生してから3日後、Wiredのスタッフは数分で、住所と名前からAmazonアカウントとAppleアカウントへのアクセスまで、フォーカス全体を完全に2回繰り返すことができました。