Вот так легко хакнуть все аккаунты

your life online, ксж

1

5

Я просто скопипащу это здесь

Буквально за один час у автора статьи Мэта Хонана были взломаны Amazon, GMail, Apple и Twitter аккаунты и была удаленно уничтожена информация на его iPad, iPhone и MacBook. Среди прочего он потерял все фотографии своей дочки с ее рождения, многие документы и большую часть переписки. Очень интересно в этой истории то, как злоумышленник получил доступ к Amazon аккаунту и AppleID — для этого не понадобилась ничего, кроме доступной в сети информации и телефона.

Злоумышленнику приглянулся трехбуквенный Twitter Мэта. С целью заполучить его, он провел небольшое исследование, в ходе которого обнаружил, что Twitter аккаунт Мэта содержал ссылку на его личный сайт, который, в свою очередь, содержал его GMail адрес. Имея GMail адрес, злоумышленник начал процесс восстановления пароля. Так как двухступенчатая авторизация у Мэта включена не была, гугл на первом экране восстановления пароля предоставил любезно обфусцированный альтернативный адрес: m****n@me.com. Сопоставив этот паттерн с gmail-адресом mhonan@gmail.com, злоумышленник получил Apple-овский email автора.
Первое, что было необходимо злоумышленнику для того, чтобы приступить к интересной части, это адрес Мэта, который легко обнаружился WhoIs сервисом в информации о его личном сайте. Имея адрес, злоумышленник позвонил в Амазон и сказал, что он владелец аккаунта и хочет добавить новую кредитную карту. Чтобы проверить, что злоумышленник действительно владелец аккаунта, Амазон спросил адрес, имя и email — вся эта информация у злоумышленника уже была, и он успешно ввел номер несуществующей кредитной карты, заблаговременно сгенерированный на одном из специализированных сайтов.
Затем он позвонил в Amazon опять, и сказал, что потерял доступ к своему Amazon аккаунту. Amazon попросил имя, адрес и номер кредитной карты. После предоставления этой информации (добавленный на предыдущем шаге номер кредитной карты подошел), злоумышленник смог добавить новый email адрес к аккаунту, на который восстановил пароль. В амазон аккаунте можно посмотреть список сохраненных кредиток, где, в целях безопасности, показываются только последние четыре цифры номера.
Затем злоумышленник звонит в AppleCare, где его спрашивают имя, адрес и последние четыре цифры кредитной карты, и выдают ему временный пароль на .me аккаунт. На этот аккаунт злоумышленник восстанавливает пароль от GMail, а на GMail пароль от Twitter. Используя AppleId он также удаляет всю информацию с iPhone, iPad и MacBook используя сервисы Find My Phone и Find My Mac. Печальный конец истории.

Позже Мэт связался с Apple, где ему сказали, что в данном конкретном случае внутренний регламент не был соблюден в полной мере, и что Apple относится к безопасности пользователей очень серьезно. Амазону тоже был отправлен запрос от Wired, но пока что ответа не последовало.
Сегодня, спустя три дня после того, как все это произошло, ребята из Wired за несколько минут смогли целиком повторить весь фокус дважды — от адреса и имени до доступа к Amazon и Apple аккаунтам со всеми вытекающими последствиями

Ссылка

←	Пиво IRL в Донецке

W7 не готова для десктопа!

→

← 1 2 →

Тут стоит сделать 2 вывода:

Облака, белогривые лошадки…

Ну и безопасность у амазона и ябла никакая.

PolarFox ★★★★★
(08.08.12 12:54:09 MSK)

Ссылка

Это гениально.

~~Vekt~~ ★
(08.08.12 12:54:19 MSK)

Ссылка

ССЗБ, нечего хранить данные на чужих серверах, да еще и связывать их друг с другом.

~~vurdalak~~ ★★★★★
(08.08.12 12:55:11 MSK)

Ссылка

Нет слов.

Licwin ★★★★★
(08.08.12 12:55:35 MSK)

Ссылка

Как страшно жить.

~~z00ke~~ ☆
(08.08.12 12:57:03 MSK)

Ещё один букет банальных зонтов раскрылся внутри владельца.

Deleted
(08.08.12 12:57:14 MSK)

~~«Играй, гармонь!»~~ ИГРАЙ, БОЯНЪ!

ekzotech ★★★★
(08.08.12 12:57:41 MSK)

Ссылка

А я давно всем говорю. Нехер светить свои ПД везде, где ни попадя и в полном объеме.

~~delete83~~ ★★
(08.08.12 12:59:18 MSK)

Я ожидал увидеть это здесь еще вчера. Что-то ЛОР тупит.

morse ★★★★★
(08.08.12 13:00:50 MSK)

И кстати ссылку на оригинал не помешало бы.

morse ★★★★★
(08.08.12 13:01:35 MSK)

Ответ на: комментарий от morse 08.08.12 13:00:50 MSK

Я ожидал увидеть это здесь еще вчера. Что-то ЛОР тупит.

А разве не было?

ekzotech ★★★★
(08.08.12 13:01:41 MSK)

Ссылка

С нетерпением жду классическое «Честному человеку скрывать незачем, анонимностью озабочены только педофилы!»

Anonymous ★★★★★
(08.08.12 13:02:18 MSK)

Ну и да, копирастия во все поля.

Впрочем, хакер талантливый. Выследить всю цепочку и воспользоваться - это уметь надо.

ekzotech ★★★★
(08.08.12 13:02:49 MSK)

Ответ на: комментарий от z00ke 08.08.12 12:57:03 MSK

Он потерял всё. И сразу. Вся его жизнь пронеслась по проводам и улетела из iTunes в Recycled

Karapuz ★★★★★
(08.08.12 13:03:51 MSK) автор топика

Ответ на: комментарий от morse 08.08.12 13:01:35 MSK

wired.com

Karapuz ★★★★★
(08.08.12 13:04:32 MSK) автор топика

Ссылка

Среди прочего он потерял все фотографии своей дочки с ее рождения, многие документы и большую часть переписки.

Ну кто там говорил о надежности облаков?

Используя AppleId он также удаляет всю информацию с iPhone, iPad и MacBook используя сервисы Find My Phone и Find My Mac.

А это вооще за гранью добра и зла. Вот пользовался линуксом - все было бы иначе.

DNA_Seq ★★☆☆☆
(08.08.12 13:06:21 MSK)
Последнее исправление: DNA_Seq 08.08.12 13:08:42 MSK (всего исправлений: 1)

Ответ на: комментарий от morse 08.08.12 13:00:50 MSK

А, ну да http://habrahabr.ru/post/149179/

Karapuz ★★★★★
(08.08.12 13:06:44 MSK) автор топика

Ответ на: комментарий от Karapuz 08.08.12 13:03:51 MSK

были взломаны Amazon, GMail, Apple и Twitter аккаунты и была удаленно уничтожена информация на его iPad, iPhone и MacBook

Это теперь называется «всё»?

~~geekless~~ ★★
(08.08.12 13:07:23 MSK)

Ответ на: комментарий от Anonymous 08.08.12 13:02:18 MSK

С нетерпением жду классическое «Честному человеку скрывать незачем, анонимностью озабочены только педофилы!»

[Елена_Мизулина_моде]Честному человеку скрывать нечего, анонимность нужна только педофилам![/Елена_Мизулина_моде]

ekzotech ★★★★
(08.08.12 13:07:37 MSK)

Ответ на: комментарий от Karapuz 08.08.12 13:03:51 MSK

Будто они действительно удаляют файлы. Ну и да, если человеку важна информация, то ему следует делать бекапы. Причём на девайсы без возможности выполнить удалённо rm -rf /.

PolarFox ★★★★★
(08.08.12 13:08:00 MSK)

Ответ на: комментарий от Karapuz 08.08.12 13:03:51 MSK

Вся его жизнь пронеслась по проводам и улетела из iTunes в Recycled

Не, скорее все осталось помечено как «удаленное» и осталось на серверах.
Все ради уменьшения фрагментации.

winddos ★★★
(08.08.12 13:08:07 MSK)

Ответ на: комментарий от geekless 08.08.12 13:07:23 MSK

Это теперь называется «всё»?

Там с ноута у него куча информации пропала. И неизвестно, есть возможность её восстановить или нет. Там фотки дочери с д.р. ещё что-то. Почту наверняка почистили, как и всё остальное.

Не, человек не умрёт, но восстанавливать контакты и другую информацию - очень долго и мучительно.

ekzotech ★★★★
(08.08.12 13:08:59 MSK)

отлично

Bad_ptr ★★★★★
(08.08.12 13:09:36 MSK)

Ссылка

Ответ на: комментарий от PolarFox 08.08.12 13:08:00 MSK

Ну и да, если человеку важна информация, то ему следует делать бекапы. Причём на девайсы без возможности выполнить удалённо rm -rf /.

~~geekless~~ ★★
(08.08.12 13:09:54 MSK)

Ссылка

Ответ на: комментарий от Karapuz 08.08.12 13:06:44 MSK

Я имел в виду во-первых — в шапке, а во-вторых, таки именно на wired. Я-то сам оригинал читал.

morse ★★★★★
(08.08.12 13:10:22 MSK)

Ответ на: комментарий от winddos 08.08.12 13:08:07 MSK

Ну, ладно. Добудет он ее обратно.

Вопрос в другом. Как ему теперь оградиться от подобного в будущем? А если бы инфу не стерли а просто пароли от кредиток нашли ? От всех и сразу?

Karapuz ★★★★★
(08.08.12 13:11:04 MSK) автор топика

Ответ на: комментарий от ekzotech 08.08.12 13:08:59 MSK

Человек с хабра не умеет переводить. Там были фотки «первого года жизни моей дочки».

morse ★★★★★
(08.08.12 13:11:44 MSK)

Ссылка

Ответ на: комментарий от ekzotech 08.08.12 13:02:49 MSK

Впрочем, хакер талантливый.

Не надо его переоценивать. Подобные цепочки дело обычное, по крайней мере лет семь-десять назад короткие аськи примерно так и угоняли.

DNA_Seq ★★☆☆☆
(08.08.12 13:11:59 MSK)

Ссылка

Ответ на: комментарий от Karapuz 08.08.12 13:11:04 MSK

С кредитками как раз проще, украденная кредитка — забота банка.

PolarFox ★★★★★
(08.08.12 13:12:33 MSK)

Ссылка

для пущего драматизма надо в заголовке «аккаунты» написать через «э»

zolden ★★★★★
(08.08.12 13:12:33 MSK)

Ссылка

Ответ на: комментарий от PolarFox 08.08.12 13:08:00 MSK

Где ты видел макофила, делающего бекапы? Они и слова-то такого не знают.

DNA_Seq ★★☆☆☆
(08.08.12 13:12:35 MSK)

Ответ на: комментарий от DNA_Seq 08.08.12 13:12:35 MSK

Я думаю, после этой истории одним макофилом стало меньше.

PolarFox ★★★★★
(08.08.12 13:14:23 MSK)

Ответ на: комментарий от ekzotech 08.08.12 13:07:37 MSK

Кстати, этот случай опровергает ещё и миф о том, что мол элите современного общества(политикам/бизнесменам/поп звёздам/юристам/журналистам) приватность действительно необходима, а простое быдло с ЛОР и так никому не интересно.

Anonymous ★★★★★
(08.08.12 13:14:35 MSK)
Последнее исправление: Anonymous 08.08.12 13:19:01 MSK (всего исправлений: 1)

Ответ на: комментарий от PolarFox 08.08.12 13:14:23 MSK

Маловероятно. Он решит что это проблема компьютеров в целом а не макоси.

DNA_Seq ★★☆☆☆
(08.08.12 13:16:21 MSK)

Ссылка

Ответ на: комментарий от PolarFox 08.08.12 13:08:00 MSK

Причём на девайсы без возможности выполнить удалённо rm -rf /.

с такими девайсами RIAA@co понемногу борется.

Anonymous ★★★★★
(08.08.12 13:17:45 MSK)

Ссылка

Ответ на: комментарий от DNA_Seq 08.08.12 13:12:35 MSK

Мак же должен сам позаботиться о данных своего владельца, сохранив куда-нибудь в облако. ОХЧЁ~~

Xenesz ★★★★
(08.08.12 13:19:30 MSK)

Ответ на: комментарий от Karapuz 08.08.12 13:11:04 MSK

Во многих сервисах есть двойная авторизация по средствам sms: gmail, facebook, paypal, в них точно есть.
Но в конкретно данном случае это РЕШЕТО в работе сервисов, так что от грамотной атаки никак нельзя защитится.

А от хорошо оплаченной вообще нереально, т.к подделать можно что угодно.

winddos ★★★
(08.08.12 13:22:32 MSK)

Ответ на: комментарий от morse 08.08.12 13:10:22 MSK

Ну, на wired уже продолжение истории http://www.wired.com/gadgetlab/2012/08/apple-icloud-password-freeze/
Называется Epic Hack

Karapuz ★★★★★
(08.08.12 13:22:47 MSK) автор топика

Ссылка

Ответ на: комментарий от morse 08.08.12 13:10:22 MSK

А вот и и герой дня http://www.wired.com/gadgetlab/2012/08/apple-amazon-mat-honan-hacking/

Karapuz ★★★★★
(08.08.12 13:23:17 MSK) автор топика

Ссылка

Все гениальное просто.
Облака не нужны. Во всем виноват гугл, который показал m****n@me.com

Deleted
(08.08.12 13:23:19 MSK)

Ответ на: комментарий от DNA_Seq 08.08.12 13:12:35 MSK

я видел он маковскую бэкапилку купил.

~~dk-~~ ☆
(08.08.12 13:24:09 MSK)

Ответ на: комментарий от Anonymous 08.08.12 13:14:35 MSK

Да похакать могут кого угодно, при желании. В данном случае было желание, там вроде хакеру его твит-акк понравился.

А вот ты и я - вряд ли кому-то нужны. Так что оно отчасти справедливо, отчасти нет.

ekzotech ★★★★
(08.08.12 13:24:50 MSK)

Ответ на: комментарий от Deleted 08.08.12 13:23:19 MSK

Во всем виноват гугл, который показал m****n@me.com

В таком случае «Чтобы проверить, что злоумышленник действительно владелец аккаунта, Амазон спросил адрес, имя и email» — вообще за гранью добра и зла. Эта информация в общем случае открытая.

~~KRoN73~~ ★★★★★
(08.08.12 13:29:20 MSK)