Apple förnekar iCloud-intrång i australiensisk hack- och ransomattack

Igår vaknade vissa iCloud-användare från Australien och Nya Zeeland av störande meddelanden från Find My iPhone som varnade om att deras telefoner hackades och att de behövde betala en lösensumma på $50 till $100 för att återställa åtkomsten. Utan officiellt besked från Apple kretsade vissa spekulationer kring möjligheten av en iCloud-kompromiss. De spekulationerna kan fortsätta även efter att Apple idag utfärdat ett uttalande som förnekar att dess iCloud-tjänst har äventyrats och har varnat användare som drabbats av attacken att ändra sina lösenord.

Vissa användare Down Under väcktes av meddelandet som bar den olycksbådande varningen ”Device Hacked by Olig Pliss.” Olig Pliss, som det visar sig, är namnet på en mjukvaruingenjör på Oracle. Den riktiga Olig Pliss hade ingenting med attacken att göra. Även om attacken initialt dök upp i Australien och Nya Zeeland, verkar det som att användare i Kanada och USA också har drabbats enligt denna tråd i Apples supportforum.

Här är texten i Apples uttalande:

Apple tar säkerheten på största allvar och iCloud komprometterades inte under denna incident. Berörda användare bör ändra sitt Apple-ID-lösenord så snart som möjligt och undvika att använda samma användarnamn och lösenord för flera tjänster. Alla användare som behöver ytterligare hjälp kan kontakta AppleCare eller besöka deras lokala Apple-butik.

Vad som fortfarande är märkligt och okänt är hur hackarna fick tillgång till ett antal användarkonton i iCloud. Om det, som vissa säkerhetsforskare tror, ​​var en nätfiskeattack som lurade användare att besöka en skadlig webbplats, har det hittills inte funnits någon gemensam nämnare bland de drabbade användarna. Apple har inte kommenterat mer än uttalandet ovan.

Användare som har ställt in ett lösenord och/eller använder Touch ID påverkas inte. Tydligen använder hackarna Hitta min iPhone för att skicka en enhet till ”Lost Mode” och ändra lösenordsinställningar via iCloud på enheter som inte redan har ett lösenord inställt. För att ändra ett lösenord på en enhet med ett lösenord som redan är inställt behöver du fysisk åtkomst till enheten för att göra ändringen. Alla användare som redan har ett lösenord kan låsa upp sin enhet med det lösenordet.

Användare som inte har ställt in ett lösenord kan återta kontrollen över sina iOS-enhet genom att följa dessa instruktioner från Apple för ett glömt lösenord eller inaktiverad enhet. I huvudsak måste du torka och återställa din enhet från början så att du kan ställa in ett nytt lösenord.

Användare hänvisades till ett PayPal-konto för att betala ”lösensumman”, men PayPal hittade inga bevis för att e-postmeddelandet som publicerades länkade till något PayPal-konto. PayPal erbjöd sig också att återbetala alla som hade skickat pengar.

Fokus hittills på denna attack är en fråga som kallas ”lösenordsåteranvändning”. Detta händer när samma lösenord används på flera konton istället för unika lösenord för varje konto eller tjänst en användare har ett konto hos. Alldeles för många internetanvändare håller sig med samma lösenord för flera onlinetjänster. Om ett lösenord äventyras vid ett intrång på en tjänst och inte ändras, blir andra konton sårbara.

Det är viktigt att alltid träna säkert lösenordshantering när du deltar i någon internettransaktion. Rekommenderade tips inkluderar:

1. för varje webbplats eller tjänst.
2. Använd inte upptäckbar information som dina barns namn, årsdagsdatum etc. Använd en kombination av bokstäver, siffror och andra tecken för att skapa ett unikt lösenord.
3. Lösenordslagring och skapande programvara som t.ex 1Lösenord, LastPass, RoboForm, Vårdareoch Dashlane bland annat erbjuder dig möjligheten att skapa och lagra unika lösenord som du kan komma åt genom ett huvudlösenord eller automatiska inloggningar. Men kom ihåg att du måste skapa en huvudlösenord som inte heller är lätt att upptäcka. Webbläsare erbjuder också möjligheten att spara och lagra lösenord för enkel hämtning. Men kom ihåg, bra säkerhet och bekvämlighet går inte hand i hand.
4. Om du måste lagra dina lösenord någon annanstans än ett digitalt skåp, f. Att bära runt dina lösenord i en adressbok kan lätt äventyra din säkerhet om du skulle tappa den.
5. . Erbjuds av vissa tjänster och webbplatser tvåstegs- eller tvåfaktorsautentisering skapar ett andra lager av skydd genom att du måste autentisera ditt konto inte bara från en webbplats utan också från en smartphone. Instruktioner för att ställa in tvåstegsautentisering för iCloud finns här.
6. för webbplatser och tjänster som de använder. Vänta inte på en säkerhetsskräm eller varning. Tänk på att skapa en regelbunden tid för att byta lösenord på samma sätt som du byter batterier i brandvarnare.
7. Lita inte på någon webbplats eller tjänst absolut.