【IT】電話1本でiCloudアカウントを乗っ取る方法

”電話1本でiCloudアカウントが乗っ取られた顛末とは”

米WiredのシニアライターであるMat Honan氏が、攻撃者にiCloudアカウントを乗っ取られた。高度の技術やツールを駆使したのではない。
攻撃者はAppleCareに電話をかけ、言葉巧みにAppleのスタッフからパスワードを引き出したのだ。

先週の金曜日の夕方、突然Honan氏のiPhoneが電源オフになった。電源コードをつなぐとセットアップ画面が現れた。
iCloudのバックアップから復元しようとしたが、iCloudにログインできない。それから5分ぐらいの間に、iPhoneに続いてiPadとMacBook Airが
次々にワイプ(データ消去)され、Gmailにもアクセスできなくなった。さらにHonan氏のTwitterページで、何者かが人種差別的はツイートをして
アカウントが閉鎖された。

中略

そもそも、なぜ攻撃の手口がわかったのかというと、騒動の最中、Honan氏が新たに作成したTwitterアカウントに「Phobia」という
攻撃者グループの1人がコンタクトしてきたからだ。攻撃者グループは単にHonan氏のTwitterのユーザーネーム(mat)を気に入り、
それを乗っ取りたいと思って攻撃を仕掛けた。金銭ではなく、騒ぎを起こすのが目的で、だからHonan氏の銀行アカウントなどには
侵入しなかったが、今日のクラウドサービスの弱点を公にしようと、メジャーな媒体に記事を提供してきた同氏に接触した。以下は、
今回の攻撃のあらましだ。

マイナビニュース
http://news.mynavi.jp/column/svalley/476/


続きます…

へえ

そろそろ「ザ・インターネット」の現代版作成して欲しいな

>>1の続き

1.　Honan氏のTwitterアカウントに興味を持った攻撃者はHonan氏に関するリサーチを開始。Honan氏のTwitterに
個人ページへのリンクが張ってあり、そこに記されているGmailアドレスがTwitterにも使用されていると考えた。

2.　Google Account Recoveryページで、予備のメールアドレスを確認(Honan氏はログインに2段階認証プロセスを設定していなかった)。
Honan氏はMobileMeアカウントのメールアドレスを登録していた。Googleはアドレスの一部を隠して表示するが、
Honan氏のメールアドレスは「m・・・[email protected]」と推測しやすいものであり、同時にHonan氏がApple IDアカウントを所有していることが
攻撃者にばれた。

3.　Appleのカスタマーサポートは、「セキュリティの質問」に答えられないユーザーであっても、「Apple IDのメールアドレス」「請求住所」
「クレジットカードの最後の4桁の数字」が揃えば、パスワードの再設定を認める。
そこでPhobiaはクレジットカード番号を入手するために、まずAmazon.comに電話し、Honan氏のメールアドレスのアカウントに
クレジットカードの追加登録を依頼した。Amazonはユーザーが「名前」「住所」「メールアドレス」の情報を持っていれば電話からでも
クレジットカードを追加してくれる。完了したら一旦電話を切り、今度は新しいメールアドレスを追加したいとAmazonに電話した。
「名前」「住所」「クレジットカード番号(さっき電話で追加した番号)」が揃っていれば、Amazonはメールアドレスを追加してくれる。
そしてAmazon.comにアクセスし、追加したばかりのメールアドレスを使ってパスワードを再設定し、Honan氏のAmazonアカウントに侵入。
アカウント情報に記載されているクレジットカードの最後の4桁の番号を入手した。

４．AppleCareに.Meメールアカウントにログインできないと電話、3つの情報(メールアドレス、住所、カード番号)が揃っていたため、
Appleのスタッフは一時的なパスワードを発行。それを基に攻撃者はApple IDアカウントに侵入。パスワードを変更し、
.Meメールのインボックス内の情報からGmailやTwitterのアカウントも乗っ取り、「iPhoneを探す」や「Mac を探す」を使って
Honan氏のデバイスをリモートワイプした。

後略

…以上です。。。

ソーシャルハッキング

要約するとAmazon楽々hacking

アップルザルすぎる上に対応が遅いって致命傷だろこれ。

結構、古典的なハッキングで引っかかったもんだね・・・。

>>6
いや別にAmazonなしでも出来るってあるじゃん。

>>1
こうしたソーシャルハッキングの手法は誰でも理解出来る簡単なものだけれども、
不正アクセスを行って、こういうアカウントの乗っ取りをすれば、明確にIP等が残ってしまうから、
簡単に刑事罰くらうことになるので日本では流行らないだろうね。

教訓
・ネット上に情報をばらまかないようにしよう
・登録情報は極力分散化しよう（カードは複数使い分ける、メアドも１登録使い捨てくらいの勢いで）
・目立たない人間になろう

登録情報の分散化って逆にリスクを増やすことにならね？

>>9
ちゃんと読んでる？

facebook とかで公開されている他人の名前住所メールアドレスを使えば

Amazon
他人のアカウントに電話で自分のクレカ追加、さらにメールアドレス追加、
パスワード再設定で他人のアカウント乗っ取り完了

Apple
クレカ下四桁が本人認証の代わり
Amazonに登録してあったクレカ等の情報にて乗っ取り完了

が可能な場合があるってことか
どちらかというとAmazonが穴だな

個人情報を全世界に公開するアホが多い時代、上手いこと出来るもんだな

電話『一本』じゃないような気がする

なんだこれ…認証のための情報で取得困難なものを自分で勝手に作って追加してしまうって…
常日頃から悪事のために脳みそ使ってる連中の思考気持ち悪い…
こうはなりたくない。

>>4
「電話三本」じゃないのか？スレタイに偽りあり

これGIZMODの編集もやられたよね、全部のデータけされてた、アップルもざる

Amazonにクレジットカードを追加した

ここをどうやったかわからん。どうやって他人のクレカを追加したの

登録情報はフルで登録しとかないと
乗っ取られる可能性があるのか

>>3
あれ２まであるのな
ちょっと前にテレ東でやっててびっくりしたわｗ

認証を厳重にするための本人確認情報の多さを逆手に取られて突破のための鍵にされた。
最初に設定した情報をプライマリとして、それ以外を鍵に使えないようにすれば防げるな。

>>19
登録だけならわざわざカード会社に照会しないだろうから、架空の番号・名義でも登録はさせてくれるんじゃないか？

>>19
amazonには他人のじゃなくてハッカーが自分の手持ちクレジットカード情報を追加登録したんじゃないの？

通販とか銀行とかの電話連絡でも、あれ、こんなんでおれを信用しちゃっていいの、
とびっくりすることがあるな。

>>14
ああわかった

1 Amazon
ハッカーがAmazonに電話して“自分の”クレカを追加
これだけでその人のAmazonのアカウントを乗っ取れる
これで本人のクレカ番号をゲット

2 Apple
クレカ番号下４桁でアカウント乗っ取り

ってことか

>>25
銀行口座の住所変更なんか電話でもいいもんな

ただし、いきなり第○暗証番号をお願いします　とか言われると困る
そんなのいちいち覚えてねえよ
2回目で通ったからいいけどさｗ

他人名義のクレジットカードをAmazonに登録できるってのが、
どう考えてもおかしい。
クレジットカード会社の規約にも反するだろ。

　　 　　∩＿＿＿∩
　 。　　| ノ　　　　　 ヽ
　　＼<＾i、 ●　　　● |　　　Appleさん
　　　 |ヽ(⌒)､( _●_)　 ミ　　アカウントにログインできないのですが・・・
　　 彡/　 ﾄ､_>|∪|　　､｀＼
　　 /ﾉ　 /　　 ヽノ　/´>　 )　そう！それ！オレ！オレ！
　　(＿／　　　　　 /　(_／
　　　|　　　　　　 /
　　　|　　／＼　＼
　　　|　/　　　 )　 )

信仰心が足りないねえ

信者ビジネス詐欺企業アップルを信仰しているのだから、全ては神の思し召しと思わないと

絶対神アップルには如何なる間違いもなく、全てを失うこともまた神より賜りし正しき事であると
そして全てを受け入れて死んでこそ、アップルへの忠誠の証となる

>>1
何いってんの？
そんなのiCloudじゃなくても何でも対象だろ。
教唆ということで通報するぞ。

>>1
ジョブズが居ればこんな糞くだらないソーシャルハックなんて受けなかったのに・・・・・
appleが死んでいく

電話1本で乗っ取ることもできる
そう、iCloudならね。

>>32
ジョブズは全知全能の神だな

最近はバカチョン泥が増えてんだろ。
バカチョン泥信者は自分の心配してた方がいいんじゃねえの？

ぶっちゃけ、この方法使えば

捨てクレカ番号あれば、アマゾンのアカウントハックして購入履歴みてにやにやできるんだよな
見終わったあとに、もとのクレカにもどせば本人はわからないというｗ

今時Apple製品使ってる情弱なんているの？

有名人ほどFBで全情報だしているからソーシャルハックされやすいという

FBで誕生日や結婚記念日さらしてるのはアホだよね。

アンドロ使ってるのが情弱だろ。
自ら個人情報をくれてやってるようなものだ。
池沼には何を言っても無駄みたいだな。

信者こわいおー＾＾

おいおい、amazonに自分のクレカを登録した時点で足跡残っちゃうじゃん。
あとで100%捕まるだろｗ

そうだな。アンドロ信者は怖いなw
勝手に他人の情報まで撒き散らしてくれそうだし。
笑ってられんかw

だからステクレカだっていってるじゃん

ハッカーも結構努力と根気がいるんだな。

あと、履歴見た後に元のに戻しておけば本人にはわからんよ・・・・・・・

>>42
登録するだけなら架空のクレカでも行けるんじゃね？
使用可能かどうかの認証は、実際に買い物する段階で行われるんじゃねーのかな

>>45

セキュリティホール見つけるのにソースコード3ヶ月掛けて、検証とかするからね
アニメとかみたいにリアルタイムハックとかは幻想

クレカ番号は適当でおkだとして
Amazonに電話するのに飛ばしの携帯が必要か
公衆電話でもいけるかな？

あとはIPアドレス
串を何重かに噛ますか、野良無線LANでも使えば逮捕不能じゃねーかこれ？
意外とハードル低いな

米Gizmodoのツイッターがハックされる。原因はiCloud
http://headlines.yahoo.co.jp/hl?a=20120807-00000303-giz-ent

馬鹿だよねえ、アップルザル。

アカウントわかれば全部のデータ消去可能

5:00 PM、iPhoneがリモートワイプされる（Find my iPhoneがオンになっていた）
5:01 PM、iPadがリモートワイプされる（Find my iPadもオンになっていた）
5:05 PM、MacBook Airがリモートワイプされる（Find My Macもオンになっていた）

マッキントッシュ便利すぎ

顔本と尼のコンボで誰でも簡単ハック

FuckBookでkonozama

Amazonがクソじゃんwww

オレオレ詐欺の再就職場所か

iに限らず、クラウドはワナ。

>>48
セブン＆アイだかの通販サイトは穴だらけでリアルタイムで遊ばれてたな

>>58

あれはハッキングじゃなくて、もともと遊べるようにそのまま公開してあったので誰でもウェルカム

>>1
怖いなぁ、iPadとiPhoneを使ってるけどバックアップはiCloudだけってのは同じだし、Amazonも使ってるからなぁ
メアドを全て換えるとかの対策をしないと駄目だな

>>58
あったあった
あれはすごかった。
向こうもミス認めなくないのか、最初は意地でも商品送ってきてたしな。

Amazonが、クレカ追加手続きの時に使用可能なクレカかどうかと
本人名義であるかどうかを確認すればだいぶ防げるだろ

>>16
セキュリティ側は、逆にこんなことやりそうだろ
って考えつかないといけないのだろうな

>>24
それ、逮捕してくれって言ってるような・・・

>>63
それが本来のハッキングの理念なんだけどね
仕組みが気になって、そしてその仕組みの弱点がわかってしまう人=ハッカー
実際、セキュリティホールを見つけては企業に注意喚起したりしてる
時には証明のために侵入したりするが、実害を与えたりはしない

最初から侵入目的で脆弱性を見つけて、
それを実行するのはクラッカーとして分けた方がいいんだよなぁ

こういう複数のサービスとサポートを組み合わせて乗っ取るってマジ怖いな

パスがバレなきゃ大丈夫なんて安心できない訳だ

まあ、匿名じゃ無理だろうし逃亡まで考えたら
かなりのリスク背負う訳だが

Gizmodeなところが嘘くさい

>>66
匿名でいける

Amazonへのクレカ追加登録手続きでは
実際に使えるクレカかどうかの確認はされないでしょ
買い物しようとした時に初めて認証じゃねーかな

存在するクレカしか登録できないとなるとハカー本人のクレカ使うしかないけど
クレカの名義人が違った時点でバレちゃうでそ

ウォズの言ってる通りになった

>>1
揚げ足を取るようで悪いけど、電話一本じゃなくて電話一台な。
一本じゃないじゃん。

本人確認が甘いのが悪いんだよなー
セキュリティ固めるならに免許証、パスポートとかの
第三者による証明書が必要になるのかなー

FBで住所さらしている馬鹿マカーを検索しちゃだめだよ

そもそもメアド＝IDの尼損でメインのメアドを使う事自体セキュリティ的に問題あるだろ

>>23
池沼やら馬鹿は書き込むなよ・・・┐(￣ヘ￣)┌
夏休みだから小学生かな？

>>17
「電話で一本取られた」では？

便利に使うってこういうことなんだな。

>>70
「電話回線一本」で、どうだろうここは一つ

>>65
とすると、ハッカーに尊敬されてるらしきケビン・ミトニックはハッカーじゃなくクラッカーって事か。

鳥餅鍵侵入法

これAppleが悪いんじゃなくて、Amazonが悪いんだよな
ちゃんと問題分析しないと解決が遅れるぞ

アップルが悪いに決まってるだろｗ
iCloudは林檎のサービスだぞｗ

やっと正しく理解した。

Appleに登録されてるクレカ番号(A)とAmazonに登録されてるクレカ番号(A)が同じで、
Amazonに自分のクレカ番号(B)を登録して、それを元にAmazonアカウントを乗っ取り、
Amazonに登録されてる本人のクレカ番号(A)を盗み見て、それを手掛かりに、
Appleのパスワードを再発行させ、Appleアカウントを乗っ取ったのか。

>>81
Apple自体に穴は無かったみたいだよ。
ただ認証に必要な情報全てが既に別の場所から取られてしまってただけ。
これを防止するためには、パスワード再発行時に、登録メールアドレスに
認証メールを送り、そこから認証ページにアクセスさせるとか、
二重三重の対策が必要になる。

Apple、すでに電話によるパスワードのリセット、止めてるな。結構対応速い。

amazonがザルなのか

でも、このやり方だと自分のクレカ番号をＡｍａｚｏｎに押さえられるから、速攻で逮捕じゃないの？
それとも偽名で足の付かないクレカ番号を持ってるとか？

Amazonもアホしかおらんからなあ

>>18
その話だろ

Amazonの購入履歴とか見られたら、もうお嫁に行けない！

>>89
俺が貰ってやんよ(｀・ω・´)

電話で本人でもないやつが
架空のカードを追加登録できるだなんて
ITかんけーねーじゃん

amazonザルだな。

>>86
たぶんクレカ番号の照会は注文後の確定処理にしか行われない

他通販サイトと違って、アマゾンは限度額ギリギリのクレカでも注文は出来る
そのあとにクレカ照会失敗＆代替支払手段の選択を要求するメールが届く

>>93
このニュースの後に実際に試したAmericaのサイトでは、架空のクレカ番号で大丈夫だったらしい。
クレカ番号ジェネレーターで作った、口座としては存在しないけど、数字自体は簡易チェックを
パスできるグレードの番号を使ったみたい。

>>94
じゃあ、この場合、そこが最大の穴じゃないかｗｗｗ

a

ソーシャルエンジニアリングなんて随分前から言われているのに、
大手がこんなのでやられるのか。

これは…iCloudというよりAmazonダメじゃんｗ