Internetgebruikers moeten voor al hun accounts waar mogelijk tweefactorauthenticatie inschakelen en het vervolgens niet uitzetten, zo adviseert de FBI. Aanleiding voor het advies is de zaak van een 27-jarige Amerikaan die wegens het inbreken op de Apple-accounts van meer dan honderd bekende sporters en rappers werd veroordeeld tot een gevangenisstraf van drie jaar en één maand. Ook moet hij een schadevergoeding van 697.000 dollar betalen.

De man verstuurde duizenden phishingmails die van Apple afkomstig leken. In de phishingmails werden slachtoffers gevraagd om hun gebruikersnaam en wachtwoord terug te sturen of het antwoord op hun beveiligingsvragen. Volgens de phishingmails was dit nodig om de Apple-accounts te resetten of video's te ontvangen die individuen probeerden te versturen. Meer dan honderd slachtoffers, waaronder sporters van de Amerikaanse basketbalcompetitie NBA en footballcompetitie NFL en verschillende rappers, trapten in de phishingmails en verstrekten hun inloggegevens.

Nadat de man de inloggegevens had verkregen logde hij in op de Apple-accounts. Vervolgens probeerde hij het accountwachtwoord te resetten en e-mailadres aan te passen, zodat slachtoffers niet meer konden inloggen, tenzij ze contact opnamen met Apple. Uit informatie van Apple bleek dat er honderden ongeautoriseerde inlogpogingen hebben plaatsgevonden. Zodra het account volledig in zijn handen was zocht de man naar creditcardgegevens die hij voor allerlei zaken gebruikte. Naast schatting wist de man op deze manier 325.000 dollar van zijn slachtoffers te stelen.

Volgens de FBI is het daarom belangrijk dat gebruikers niet zomaar hun wachtwoorden verstrekken en hun accounts met tweefactorauthenticatie beveiligen en dit vervolgens niet uitzetten. "In sommige gevallen wist de man zijn slachtoffers te overtuigen om hun tweefactorauthenticatie uit te schakelen of hem de antwoorden op hun beveiligingsvragen te geven. Zodra hij hun wachtwoorden had, had hij toegang tot hun accounts", aldus FBI-agent Joseph Zadik. "Net zoals je niet de alarmcode van je huis of de combinatiecode van je kluis geeft, moet je ook je wachtwoorden niet prijsgeven", voegt hij toe.