Apple ha hecho una declaración oficial acerca de la seguridad de iCloud después de varios días en los que se ha acusado a la compañía de Cupertino de que por un problema de seguridad, las fotografías personales de diferentes celebridades se habían filtrado al público.
Después de una investigación de más de 40 horas, Apple ha respondido que las filtraciones de las fotografías se deben exclusivamente a tácticas comunes en internet y que los ataques a las celebridades estaban organizados para confundirlos, en un esquema de phishing bastante habitual.
Las declaraciones de Apple desmantelan así los rumores sobre la seguridad de su servicio incluyendo un posible vector de ataque basado en peticiones contra el servicio «Encuentra mi iPhone». Apple recomienda a los usuarios que utilicen contraseñas complejas y que activen la verificación en dos pasos. Apple también está trabajando con el FBI para encontrar a los culpables de la filtración.
La declaración oficial de Apple:
We wanted to provide an update to our investigation into the theft of photos of certain celebrities. When we learned of the theft, we were outraged and immediately mobilized Apple’s engineers to discover the source. Our customers’ privacy and security are of utmost importance to us. After more than 40 hours of investigation, we have discovered that certain celebrity accounts were compromised by a very targeted attack on user names, passwords and security questions, a practice that has become all too common on the Internet. None of the cases we have investigated has resulted from any breach in any of Apple’s systems including iCloud® or Find my iPhone. We are continuing to work with law enforcement to help identify the criminals involved.
To protect against this type of attack, we advise all users to always use a strong password and enable two-step verification. Both of these are addressed on our website at http://support.apple.com/kb/ht4232.
Pura logica, lo normal. Pobres conspiraciones
Hombre, si se confirma que ha sido un ataque de fuerza bruta, el hecho de que se haya permitido no dice mucho en favor de Apple. Tendría que haber bloqueado las cuentas tras un cierto número de intentos fallidos y ofrecido la opción de recuperación, lo que alertaría al usuario. Creo que eso es lo habitual.
#2 Todo sigue apuntando a phishing, pero bueno.
«Our customers’ privacy and security are of utmost importance to us. »
«we advise all users to always use a strong password and enable two-step verification. »
Pues que obliguen a usar contraseñas más seguras como hacen muchos otros sitios
#2 entiendo que no se ha producido ningún ataque, que han revisado y que por Find My Phone ni ningún otro sitio se ha atacado por fuerza bruta.
Me sigue fascinando el hecho de como han conseguido hacer que móviles Android suban fotos a iCloud. Porque vamos, son «celebrities», no les veo yo entrando en la web y subiéndolas a mano.
Y que hace Apple poniendo ficheros thumbs en iCloud… Misterios sin resolver.
#3 y #5 pues explicadme por qué el comunicado habla de ataque a las contraseñas y a las preguntas de seguridad y no de phishing o robo, y explicadle también a Applesfera que el ataque no ha sido de fuerza bruta.
Mi apple ID tiene un check activado que ya no existe que hace caducar la contraseña cada 6 meses. La verdad es un coñazo y cómo que esa opción ha desaparecido no puedo hacer nada, pero hace que mi Apple ID sea bastante más segura.
También hay que tener en cuenta que en los primeros tiempos de la AppStore no había requisitos para las contraseñas y si ésta es suficientemente antigua no tenía por qué tener mayúsculas o números, lo que facilita mucho los ataques «de diccionario».
Increíble investigación técnica que he hecho este individuo, lectura muy recomendable si interesa este tema: https://www.nikcub.com/posts/notes-on-the-celebrity-data-theft/
Todo es seguro asta que deja de serlo ….. !!
#9 iba a comentar eso mismo, no sé cuando empezó a requerir que fueran más seguras (6 caracteres, mayúsculas, minúsculas) pero yo no hace poco he visto un AppleID con contraseña de 4 números.
En última instancia, de momento lo que Apple ha comunicado es que no se ha producido un hackeo de sus servidores, de esos que roban los datos de miles o millones de clientes, como en otros casos notorios, sino que han sido ataques dirigidos a las cuentas concretas de las famosas, probablemente del modo que indica el artículo que enlaza #10 Autoy, combinando ingeniería social, phishing y/o información hecha pública en las redes sociales de las propias famosas.
Apple sólo tendría una responsabilidad indirecta, porque seguramente los «hackers» se hayan visto animados a intentar acceder a las copias de iCloud de las famosas a sabiendas de que un número significativo de éstas seguramente ignoraba que sus datos, y especialmente sus fotografías, se subían automáticamente a la nube por defecto, ya que el funcionamiento de iCloud, cuyas opciones, en mi opinión, sólo tendrían que ser habilitadas voluntariamente, siempre ha sido cuando menos confuso e incluso errático en cuanto a fiabilidad de las sincronizaciones.
Eso sí, si se demuestra que se han permitido ataques de fuerza bruta, la responsabilidad ya sería directa. Pero seguro que de esto ya se están encargando unos cuantos abogados de postín y puede que a raíz de esto las ricas y famosas lo sean aún más ;-), y probablemente mediante acuerdos privados, ya que no sólo está en cuestión la reputación de las famosas, que han inmortalizado lo mejor de sí mismas :D, sino la propia de los servicios en la nube.
Si tenéis algo de tiempo, el mejor análisis que se ha hecho sobre el tema, técnico y profundo, está aquí:
https://www.nikcub.com/posts/notes-on-the-celebrity-data-theft/
Merece la pena dedicarle 20 minutos.
#14 es lo mismo que indicaba #10 😉
Yo creo que Apple, y en general nadie, mentiría en esas cosas. Anteriormente hemos visto como Adobe, Sony, Thumblr, etc… han entonado el «mea culpa» cuando les han zumbado! Y aquí hablamos de fotos privadas, muuuuuuuuuuuuuucho más grave son las tarjetas de crédito, claves, etc… y no mienten porque el que haya entrado guarda pruebas y luego el problema es mayorrrrrrrrrrrrr.
Creo que es raro que alguién haga una captura de pantalla y se moleste en borrar información: http://ttiki.com/78970 a veces es un nombre de usuario, otras veces el nombre del disco duro, otras una carpeta, una pestaña de gmail, etc… creo poca gente se molesta en hacerlo.
No echo la culpa a nadie, pero sí en general estamos demasiado confiados… y hay ahí fuera un montón de hijosdeputa con bastantes malas intenciones y mucho tiempo libre!!!!