iCloud Hack: Apple schließt Sicherheitslücke in Find My iPhone

Update Jan-Frederik Timm
108 Kommentare
iCloud Hack: Apple schließt Sicherheitslücke in Find My iPhone

Nacktaufnahmen zahlreicher Prominenter, die in der Nacht zum Montag an die Öffentlichkeit gelangt sind, sollen in der Tat aus Apples iCloud entwendet worden sein. Zugriff wollen sich die Hacker mit einem Umweg über den Dienst „Find My iPhone“ beschafft haben.

Anders als der direkte Login auf iCloud.com oder in iTunes war Find My iPhone nicht gegen das zufällige Ausprobieren von Hunderten Passwörtern geschützt („Brute Force“), lautet der Vorwurf der Hacker. Nur mit Kenntnis der E-Mail-Adresse und einer Liste von Passwörter, die häufig genutzt und von Apple zugelassen werden, habe sich so der Zugangscode zahlreicher Prominenter ermitteln lassen.

Da alle Apple Dienste über denselben Account zu erreichen sind, waren daraufhin auch der Zugriff auf iCloud und das Herunterladen der in der Cloud gespeicherten Bilder – beispielsweise über iPhoto – möglich.

Das Script, das zum Ausnutzen der Lücke Verwendung fand, wurde bereits vor zwei Tagen im Internet veröffentlicht. Wie die Hacker mitteilen, hat Apple die Lücke mittlerweile geschlossen. Öffentlich erklärt hat sich das Unternehmen bisher nicht.

"Der Spaß ist vorbei", Apple hat die Lücke geschlossen
"Der Spaß ist vorbei", Apple hat die Lücke geschlossen

Vom Hack betroffen sein sollen über 100 Prominente, darunter Avril Lavigne, Jennifer Lawrence, Amber Heard, Jenny McCarthy, Kim Kardashian, Kirsten Dunst, Rihanna, Scarlet Johansson und Selena Gomez.

Update

Nach „40 Stunden Untersuchungen“ hat sich Apple auch offiziell zu Wort gemeldet. Der Konzern bestätigt, dass die entwendeten Bilder aus iCloud stammen. Apple widerspricht allerdings Behauptungen, Hacker hätten sich den Zugriff über eine Brute-Force-Attacke auf Find My iPhone verschafft. In allen von Apple untersuchten Einzelfällen sei der Account durch eine gezielte Attacke unter Kenntnis des Benutzernamens und Ausnutzung der hinterlegten Sicherheitsfragen beim Verlust des Passwortes gekapert worden.

Apple ruft Kunden erneut dazu auf, die Zwei-Wege-Authentifizierung zu aktivieren. Um die Hintermänner der Attacke dingfest zu machen, wird Apple eng mit den Strafverfolgungsbehörden zusammen arbeiten.

Nvidia GTC 2024 (18.–21. März 2024): ComputerBase ist vor Ort!