image

Man steelt via phishingmails 620.000 privéfoto's uit iCloud-accounts

woensdag 25 augustus 2021, 16:22 door Redactie, 9 reacties

Een 40-jarige Amerikaanse man heeft bekend dat hij door middel van phishingmails toegang tot tenminste 306 iCloud-accounts heeft gekregen en zo meer dan 620.000 privéfoto's kon stelen (pdf). Daarin zocht hij naar naaktfoto's van vrouwen. In de phishingmails deed de man zich voor als Apple-medewerker en werd slachtoffers gevraagd om hun inloggegevens te wijzigen. Zo wist hij het Apple ID en wachtwoord van slachtoffers te ontfutselen.

De FBI ontdekte twee e-mailadressen die de man voor zijn phishingaanvallen gebruikte en waar zo'n 4700 Apple ID's en wachtwoorden naar toe waren gestuurd, zo meldt de Los Angeles Times. Met deze gegevens kon de man inloggen op de iCloud-accounts van zijn slachtoffers en daarin naar foto's zoeken. Die deelde hij vervolgens op internet. Volgens de aanklacht was de man van september 2014 tot tenminste mei 2018 hiermee bezig.

Tijdens een huiszoeking in mei van dit jaar bekende de Amerikaan dat hij op verzoek van anderen de iCloud-accounts van zo'n tweehonderd slachtoffers had gecompromitteerd. De man beschikte over meer dan één terabyte aan foto's en video's.

Reacties (9)
25-08-2021, 16:33 door Anoniem
Intussen is het wel duidelijk dat cloud services niet de oplossing is voor je prive gegevens,
kies voor prive bestanden op lokaal niveau (Eigen beheer) thuis en
niet op een cloud server.

Diederik
25-08-2021, 17:40 door CSO.
Nou Diederik, je zal wel geen fan zijn van clouddiensten, maar om dat nu op deze manier onder de aandacht te brengen is wat vreemd. Ook je data in eigen beheer is kwetsbaar voor phishing of andersoortige aanvallen.
26-08-2021, 08:08 door Anoniem
Nou Diederik, je zal wel geen fan zijn van clouddiensten, maar om dat nu op deze manier onder de aandacht te brengen is wat vreemd. Ook je data in eigen beheer is kwetsbaar voor phishing of andersoortige aanvallen.

Het is voor kwaadwillenden wel een stuk bewerkelijker als privé-data ook echt privé worden bewaard. En als iemand een phishing mail krijgt, helpt het ook als hij/zij niet met een click zijn account in de cloud toegankelijk kan maken, maar eerst even moet nadenken: wil ik deze naaktfoto's nu echt uploaden naar deze medewerker van de firma Apple?
26-08-2021, 09:12 door Vuurvliegje87 - Bijgewerkt: 26-08-2021, 09:13
Ik vind dat Apple MFA moet verplichten, en beter moet toezien op vreemde inlog locaties.
26-08-2021, 10:55 door Anoniem
Door Anoniem:
Nou Diederik, je zal wel geen fan zijn van clouddiensten, maar om dat nu op deze manier onder de aandacht te brengen is wat vreemd. Ook je data in eigen beheer is kwetsbaar voor phishing of andersoortige aanvallen.

Het is voor kwaadwillenden wel een stuk bewerkelijker als privé-data ook echt privé worden bewaard. En als iemand een phishing mail krijgt, helpt het ook als hij/zij niet met een click zijn account in de cloud toegankelijk kan maken, maar eerst even moet nadenken: wil ik deze naaktfoto's nu echt uploaden naar deze medewerker van de firma Apple?

Wat is er vreemd aan Diederik's standpunt? Niets.

Ongeveer een jaar geleden wilde ik foto's (hele gewone) laten afdrukken bij mijn vaste fotozaak aan de straat. Die fotozaak was er niet meer. Ik kan die foto's alleen nog laten afdrukken als ik ze via internet verstuur. En dan natuurlijk instem met een privacy-verklaring die zo lek is als een mandje en zonder dat ik controle heb wat er echt met die beelden gebeurt.

Het schijnt dat er ergens nog automaten zijn waar je stand-alone je foto's kan afdrukken. Maar daar ben ik nog niet aan toegekomen. Misschien moet ik maar een hele dure printer aanschaffen of zoiets.

Op deze manier is "fotoservice met privacy" in de praktijk afgeschaft. Maar wie weet komt het ooit nog weer terug, als mensen wakker worden.
26-08-2021, 11:13 door Anoniem
Hij kan er in ieder geval vanuit gaan dat er geen KP tussen zit, dat heeft Apple al voor hem gefilterd.
26-08-2021, 15:25 door Anoniem
Door CSO.: Nou Diederik, je zal wel geen fan zijn van clouddiensten, maar om dat nu op deze manier onder de aandacht te brengen is wat vreemd. Ook je data in eigen beheer is kwetsbaar voor phishing of andersoortige aanvallen.

Waarom zou ik een fan willen zijn,maar je hoeft ook geen fan te zijn
als je een service gebaseerd op cloud en algoritmes gebruikt,ten slotte blijft het een server die kwetsbaar kan zijn
door een slechte configuratie en updates die ontbreken,het is dan vaak mosterd na de maaltijd,
met een extra risico om gehackt te worden en dit nog los gezien van de phishing aanvallen via email op je
eigen device.

Diederik
27-08-2021, 08:13 door Anoniem
Door Anoniem:
Nou Diederik, je zal wel geen fan zijn van clouddiensten, maar om dat nu op deze manier onder de aandacht te brengen is wat vreemd. Ook je data in eigen beheer is kwetsbaar voor phishing of andersoortige aanvallen.

Het is voor kwaadwillenden wel een stuk bewerkelijker als privé-data ook echt privé worden bewaard. En als iemand een phishing mail krijgt, helpt het ook als hij/zij niet met een click zijn account in de cloud toegankelijk kan maken, maar eerst even moet nadenken: wil ik deze naaktfoto's nu echt uploaden naar deze medewerker van de firma Apple?

Op dit forum is vermoedelijk 99% een IT'er. In dit geval is privé bewaren - bijvoorbeeld op een NAS - veiliger. Maar 95% van de bevolking is minder goed met IT is onderlegd. Dan leveren al die privé servertjes weer andere risico's op. Kijk bijvoorbeeld op Shodan hoeveel NAS'jes er onbeveiligd aan het internet hangen. Zie ook de lange lijst aan kwetsbaarheden van QNAP NAS systemen. En zo zijn er nog wel een paar risico's te verzinnen.

Het opslaan van informatie in netwerken die (wereldwijd) toegankelijk zijn leveren simpelweg altijd bepaalde risico's op.
29-08-2021, 09:00 door Anoniem
Door Anoniem:
Door Anoniem:
Nou Diederik, je zal wel geen fan zijn van clouddiensten, maar om dat nu op deze manier onder de aandacht te brengen is wat vreemd. Ook je data in eigen beheer is kwetsbaar voor phishing of andersoortige aanvallen.

Het is voor kwaadwillenden wel een stuk bewerkelijker als privé-data ook echt privé worden bewaard. En als iemand een phishing mail krijgt, helpt het ook als hij/zij niet met een click zijn account in de cloud toegankelijk kan maken, maar eerst even moet nadenken: wil ik deze naaktfoto's nu echt uploaden naar deze medewerker van de firma Apple?

Op dit forum is vermoedelijk 99% een IT'er. In dit geval is privé bewaren - bijvoorbeeld op een NAS - veiliger. Maar 95% van de bevolking is minder goed met IT is onderlegd. Dan leveren al die privé servertjes weer andere risico's op. Kijk bijvoorbeeld op Shodan hoeveel NAS'jes er onbeveiligd aan het internet hangen. Zie ook de lange lijst aan kwetsbaarheden van QNAP NAS systemen. En zo zijn er nog wel een paar risico's te verzinnen.

Het opslaan van informatie in netwerken die (wereldwijd) toegankelijk zijn leveren simpelweg altijd bepaalde risico's op.

90% van de bevolking wil sowieso niet serieus nadenken over beveiliging en begrijpt alleen de alleroppervlakkigste, eerste laag van de interface: "hap-klik". Bij de vraag: "Wilt u onze optimale cookies?" denken ze niet: voor wie zijn deze cookies eigenlijk "optimaal" en waarom? Nee, ze klikken meteen op akkoord om "verder" te kunnen. Maar als je kijkt naar de groep die wel serieus wil beveiligen maar zelf geen IT'er is, laten we zeggen 5% van de gebruikers, dan kunnen die het verschil tussen privé-opslag (in een doosje, in een usb'tje) en opslag op een server kilometers ver weg (misleidend "in de cloud" genoemd, want die servers staan gewoon op de grond) nog wel begrijpen.

Verreweg de meeste mensen hebben het helemaal niet nodig dat hun info "wereldwijd toegankelijk" is. Ze gaan één of twee keer per jaar op vakantie en kunnen best een paar weekjes zonder hun foto-albums. Het wordt ons door de IT-industrie en aardig wat IT'ers aangepraat dat het "handig" zou zijn om alles "in de cloud" op te slaan. Wij van WC-eend adviseren WC-eend. Alleen gaat dat wel ten koste van de veiligheid van privé-informatie van grote massa's goedgelovige, manipuleerbare mensen.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.