iCloud-Hack: Wie Amazon und Apple den Angreifern halfen

Am vergangenen Wochenende war es Hackern gelungen, das iCloud-Konto, anschließend das Gmail-Konto und zu guter Letzt den Twitter-Account des Ex-Gizmodo-Autors Matt Honan zu übernehmen. Der Clou: Nicht etwa Schadsoftware half den Gaunern beim ergattern der Login-Daten, sondern Apple selbst. Doch auch der Online-Händler Amazon griff den Hackern bei ihrer Arbeit unfreiwillig unter die Arme. Auf wired.com beschreibt Honan den Vorfall nun ausführlich.

Die Wahl auf Matt Honan trafen die Hacker mehr oder weniger zufällig. „Ich mochte einfach deinen Benutzernamen“, so der unter den Pseudonym „Phobia“ agierende Hacker gegenüber Honan im Nachhinein. Der erste Schritt führte die Hacker zu Honans Webseite, die dieser in seinem Twitter-Profil verlinkt hatte. Die Webseite hatte den Hackern dazu gedient, über eine whois-Anfrage die Rechnungsadresse herauszufinden. Auch Honans Gmail-Adresse konnten die Hacker ohne Probleme über seine Webseite herausfinden. Versucht man das Passwort eines Google-Kontos zurückzusetzen, zeigt Google die alternative E-Mail-Adresse, wenn auch nur teilweise, an: m****n@me.com in Falle des Betroffenen.

Bewaffnet mit der Rechnungsadresse, Honans @me.com-Adresse sowie einer falschen Kreditkartennummer riefen „Phobia“ und Co. Amazons Kundenservice an. Unter Angabe der Daten ließ Amazon das Hinzufügen einer neuen Kreditkartennummer zu. In einem anschließenden zweiten Telefonat baten die Hacker Amazon erneut um Hilfe, da angeblich der Zugang zum Konto nicht mehr möglich war. Als Verifikation zur Einrichtung einer neuen E-Mail-Adresse diente einmal mehr die Rechnungsadresse sowie einer der im Konto gespeicherten Kreditkartennummern. Und die hatten die Hacker ja kurz zuvor eintragen lassen. Amazon erklärte die Authentifizierung für erfolgreich, erlaubte die Einrichtung einer neuen E-Mail-Adresse und die Hacker konnten problemlos ein neues Passwort beantragen. Über die Kontoeinstellungen ließen sich ohne Probleme die letzten vier Ziffern von Honans echter Kreditkarte auslesen.

Dank der neuen Information konnten die Datendiebe zum dritten Akt übergehen: Einem Anruf bei AppleCare. Apples technischem Service genügte die „E-Mail-Adresse des Kontos, eine Kreditkartennummer die Rechnungsadresse sowie die letzten vier Ziffern der von Apple gespeicherten Kreditkarte“ um das iCloud-Passwort zurückzusetzen. Der Rest der Geschichte ist bekannt: Mithilfe des temporären Passwortes konnten die Hacker auf Honans iCloud-Konto zugreifen umApples Benachrichtigung-Mail umgehend in den Papierkorb zu verschieben, bevor Honan die E-Mail bemerkte. Durch die Verknüpfung mit seinem Gmail-Konto konnte auch das Passwort des Google-Dienstes zurückgesetzt werden, das wiederum mit seinem Twitter-Konto verlinkt war.

Laut Honan haben bisher weder Apple noch Amazon auf die Geschehnisse reagiert. In einem Selbstversuch gelang es dem Ex-Gizmodo-Autor erneut mit der gleichen Strategie die Daten auszuspionieren. Bleibt zu hoffen, dass IT-Größen wie Amazon und Apple in Zukunft ihre Sicherheitsmechanismen mehr aufeinander abstimmen. Die Schuld für den Hack sieht Honan aber vor allem in der Verknüpfung seiner Daten und den nur relativ niedrigen Barrieren, die von Apple und Amazon geboten werden. Immerhin könne auch „der 16-Jährige Pizzahut-Mitarbeiter“ Hackern dabei helfen, das „gesamte digitale Leben zu übernehmen.“