Promi-Hack: Apple untersucht "aktiv" illegalen Zugriff auf iCloud

Die am vergangenen Wochenende aufgetauchten privaten Bilder zahlreicher Schauspielerinnen und Sängerinnen sind vermutlich auf eine Sicherheitslücke in Apples Online-Dienst iCloud zurückzuführen. Das kalifornische Unternehmen hat dies bisher nicht bestätigt, aber gleichzeitig angekündigt, entsprechenden Berichten "aktiv" nachgehen zu wollen. "Wir nehmen Nutzer-Privatsphäre sehr ernst und untersuchen aktiv diesen Bericht", sagte Apple-Sprecherin Natalie Kerris gegenüber dem Technik-Blog Re/code. Denn kurz nach dem jüngsten "Promi-Hack", der die Veröffentlichung zahlreicher mehr oder weniger freizügiger privater Fotos zur Folge hatte, fiel der Hauptverdacht auf iCloud.

Bruteforce-Attacke

Denn gestern wurde auf GitHub das vermutliche Vorgehen veröffentlicht, in einem "Proof of Concept" wird eine so genannte Bruteforce-Attacke beschrieben, die ausgenutzte Schwachstelle betrifft dabei das "Find my Phone"-Feature von Apple. Im Wesentlichen wird dabei immer wieder versucht, Passwörter zu erraten, der Vorgang läuft natürlich automatisiert ab.

Begünstigt wird ein derartiger Angriff durch den Umstand, dass Apple keine Limits im Hinblick auf Fehlversuche hat: Ein Passwort kann immer wieder ohne Konsequenzen falsch eingegeben werden, eine zeitweilige oder gänzliche Sperrung oder Captcha-Abfrage findet nicht statt.

Offiziell hat sich das Unternehmen aus dem kalifornischen Cupertino bisher nicht dazu geäußert. Laut Re/code hätten die betroffenen Promis einen derartigen Hack per Zwei-Wege-Authentifizierung vermutlich verhindern können. Allerdings sagte Darien Kindlund, Chef der Bedrohungsforschung beim Sicherheitsunternehmen FireEye, dass Apple diese Funktion zwar anbiete, aber alles andere als gut bewerbe: "Man muss sich durch Support-Artikel wühlen, um das zu finden."



Übrigens steht auch schon für einige Betroffene fest, dass iCloud für die gestohlenen Fotos verantwortlich ist: Schauspielerin Kirsten Dunst "bedankte" sich per Twitter bei Apple für iCloud und fügte zwei Emojis an: ein (Pizza-)Stück und ein "Dreckshaufen" (letzteres kann auch noch weniger freundlich formuliert werden).