reynotch

reynotch

-
上記の広告は1ヶ月以上更新のないブログに表示されています。
新しい記事を書く事で広告が消せます。
Posted by

reynotch

reynotch

-
 先日書きましたこちらの記事の続報です。

【動画あり】GizmodoのTwitterアカウントがハイジャック ツイートの模様が動画で公開される : I believe in technology


 米国GizmodoのTwitterアカウントが乗っ取られたこの事件、当初はGizmodoの元記者であるHonan氏のアカウントが乗っ取られたのが原因と報じられていました。

 しかし、実際にはその前に、Honan氏が利用しているAppleのクラウドサービス『iCloud』のアカウントが乗っ取られたことがきっかけであることがHonan氏のブログにより判明しました。


"I know how it was done now. Confirmed with both the hacker and Apple. It wasn't password related. They got in via Apple tech support and some clever social engineering that let them bypass security questions."

Hackers Got Into Honan's iCloud Account With Deception, No Password Required



 Honan氏がハッカーとAppleの両方に確認したところ、『iCloud』のアカウントが乗っ取られたのは、AppleCareと呼ばれるテクニカルサポートへの巧妙なソーシャルエンジニアリングであったとのこと。

 ソーシャル・エンジニアリングとは、人間の心理的な隙などにつけ込んで個人が持つ秘密情報を入手する方法です。
 
 今回の場合、詳細は明らかにされていませんが、ブログでは本人確認に必要な「セキュリティの質問」をバイパスしたと書いてあります。このことから、おそらくハッカーがHonan氏になりすまして、AppleCareにコンタクトを取り、本来ならあらかじめ定めていた「セキュリティの質問」により本人確認するところを、もっと安易な方法で行ってしまったということでしょう。

 これにより、「Clan Vv3」と名乗るハッキンググループは、まずHonan氏のiCloudにログインし、パスワードをリセットしました。そして、iCloudからHonan氏のiPhone、iPad、MacBook Airを「リモートワイプ」しました。

 その後、Twitterのアカウントのパスワードをリセットして乗っ取ったのです。


 AppleCareが、「セキュリティの質問」の代わりにHonan氏本人だと判断するような情報とはなんだったのでしょう?住所や電話番号のような比較的容易に入手が可能な情報で行ってしまったとしたら、Appleの失態です。

 Honan氏は、事件後、ティム・クックCEOと広報に、こうした事故が起こらないようプロセスを変更するようメールしたそうですが、まだ回答はないようです。


 それにしても、いくら本人が気をつけてパスワードを管理していても、サービス提供側が簡単にパスワードを教えてしまったのではどうしようもありません。

 しかも、今回の場合にはiPhone、iPad、MacBook Airがリモートワイプされ、Twitterのアカウントが悪用されるなど被害は決して小さくありません。

 Appleには速やかな改善と社員への教育を徹底してもらいたいものです。

関連記事
どっかのサイトからパスワードが流出した際にそのサイトのパスワード変更以外に気をつけること : I believe in technology



上記広告は1ヶ月以上更新のないブログに表示されています。新しい記事を書くことで広告を消せます。