ハッカーがiCloudアカウント6億件ばらすと脅迫、Appleは否定。残る疑問…

  • カテゴリー:
  • News

ハッカーがiCloudアカウント6億件ばらすと脅迫、Appleは否定。残る疑問…

「Turkish Crime Family(トルコの犯罪ファミリー)」という、なんとも律儀な名をかたるハッカー集団(在ロンドン)が、「icloud.com、me.com、mac.comのログイン認証情報を3億件ないしは6億件入手した。公開されたくなかったら75,000ドル(約840万円)相当のBitcoinかEthereum、もしくは10万ドル(約1113万円)のiTunesギフトカードを払え。払わなければ4月7日付けで大量のiCloudアカウントをリセットし、Apple端末に保存されている情報を削除する」とAppleを脅しています。

Motherboardのデータ不正侵入に詳しいJoseph Cox記者が報じたもの

3億件と6億件ではだいぶ開きがありますが、あの世間を騒がせたYahoo!のハックで5億件ですので、それ並みかそれを上回る規模ということなんですかね。動機についてハッカーは「金が欲しいだけだ」と語り、「Appleカスタマーならこういう情報は知っておきたいのではないかな」と情報をあちこちのマスコミに売り歩いています。

脅迫圧力を増すためには広報活動も重要ですもんね。こうして字にしている時点で脅迫の片棒担ぎをさせられているのかと思うとドッと暗くなりますが、仮にハッキングが事実だった場合にはえらいこってすんで、いちおうウォーニングということで。

Appleとハッカーのメールのやりとり

Cox記者のもとには、Appleセキュリティ担当チームとの間のメールのやりとりのスクリーンショットも送られてきました。やりとりに使われたとされるアカウントへのアクセス方法も教えてくれたので入ってみると、なるほどそこにはAppleドメインの社員らしき人物のメールが。盗んだデータセットのサンプルを見せるようハッカーに要求しています。

ハッカー集団は動画をYouTubeに公開し、ユーザーのiCloudアカウントに侵入し、バックアップの写真を閲覧したり、端末の中のデータを消去する様子を披露しました。

Appleは否定

これに対しAppleは動画の削除を求め、「サイバー犯罪に金は払わない」と返事しています。まあ、こちらはメールの実物ではなく、スクリーンショットで確認できるだけなので本物かどうかは不詳ですが。

また、23日には「ハックしたと言っているメールアドレスとパスワードのリストは、他社のサービスから大量リークしたものであり、Appleのサーバーは侵入されていない」と公式見解を発表しました。まあ、脅迫の金額も小さいし、平文でリストが出回っているなんておかしいし、それらしい過去のリストを流用して脅迫しているだけなんですかね…。

しかし…

ただZDNetがハッカー集団から入手した54件のメールアドレスとパスワードのコンビネーションをiCloudで調べてみたところ、すべて有効だったんだそうですよ?

全員にしらみつぶしに連絡をとったら、大体の人はもうiMessageを使っていなくて音信不通だったのだけど、10人は普通に連絡がとれて、パスワードもどんぴしゃ合致。全員パスワードを変更しました。全員に共通しているのは次の点です。

・iCloud開設当初から1度もパスワードを変更していない(使用年数はほぼ全員、4~5年)

・ロンドン在住(携帯キャリアはマチマチ)

気になるのはAppleが言うように外部サイトからのリークかという点です。これについて大体の人は複数のサイトで同じパスワとメアドを使い回していると答えました。ただ、このコンビネーションを使っているのはiCloudだけだと答えた人も3人います。

うち2人はここ数日、何者かがパスワードリセットを試みていると答えました。通知が届くのでわかったようです。

うちひとりは、「ロンドン市内のバラバラのブラウザから同時に行われた」と言っています。

そんなわけでハッカーの言い分にも一分の理というか真実は混じっているようです。この1個だけかもしれないし6億個かもしれない、それはわかりませんが。心配な人はパスワードリセットと2段階認証の設定をしておきましょう。

image: GongTo / Shutterstock.com
source: Motherboard, ComputerWorld, ZDNet

(satomi)