Foro de elhacker.net

(http://img.genbeta.com/2012/08/hacked.PNG)

Mat Honan (http://honan.net/), actual redactor de Gizmodo y antiguo colaborador de otras publicaciones (Wired entre ellas), vivió unas horas bastante curiosas el otro día, cuando vio que su iPhone, su iPad y su MacBook Air eran borrados remotamente. Alguien consiguió entrar a su cuenta de iCloud, y lo más curioso de todo, lo hicieron mediante ingeniería social y una línea telefónica. A grandes rasgos el hacker, al parecer (https://twitter.com/mat/status/231958263149764609), llamó al soporte técnico de Apple, se hizo pasar por él y le concedieron acceso a la cuenta. Hilarante, ¿verdad?

Os cuento la historia. Al parecer Mat estaba tranquilamente jugando con su hija cuando vio que su iPhone se apagó y mostró la pantalla de configuración inicial. Pensó que era un bug y no se preocupó, dado que tenía backups. Intentó iniciar sesión en iCloud; no pudo. Abrió su MacBook Air, iCal le avisó de que la contraseña de Gmail era incorrecta, y de pronto le pidió un PIN de cuatro dígitos que, obviamente, no conocía. Su iPad estaba en el mismo estado que su iPhone.

Ya mosqueado, cogió el ordenador de su esposa y su teléfono e intentó iniciar sesión en Gmail. No pudo: decía que la cuenta había sido eliminada, y la única forma de tomar el control de la misma era mediante un SMS enviado a su móvil (al que no tenía acceso). Mientras vio que alguien había twitteado desde su cuenta. Llamó a Apple, y tras hora y media al teléfono vio que estaba dando palos de ciego (estaban mirando otra cuenta, no la suya), y no pudieron evitar que su MacBook Air se vaciara de información. No podían, realmente.

A todo esto, unos compañeros suyos consiguieron suspender su cuenta de Twitter personal y recuperar el acceso a la de Gizmodo. Tras mucho batallar acabó recuperando el acceso a sus aparatos, pero el hacker hizo daño: en ese MacBook Air había mucha información, muchas fotografías personales, muchos recuerdos. No, no tenía backup de ese dispositivo que, al menos, ahora está en manos de forenses que intentarán recuperar todo lo posible.

¿Quién necesita un tirón de orejas aquí? Todos han cometido errores; por una parte Mat confiando demasiado en la seguridad de su aparato y, quizá, teniendo alguna contraseña que coincida con las demás, pero el fallo más importante y el que ha desencadenado todos los demás es el de Apple. Recordemos que una cadena es tan fuerte como su eslabón más débil.

¿Acaso no tenía mecanismos para verificar la identidad del llamante? ¿Acaso no podían implementar un mecanismo en Find my iPhone/Find my Mac que permitiera revertir, o retrasar, el wipe del aparato? De hecho hemos mencionado mecanismos así, y Apple los ha patentado (http://www.genbeta.com/seguridad/patente-de-apple-revela-nuevas-caracteristicas-de-seguridad-en-ios).

Más información | Emptyage (http://www.emptyage.com/post/28679875595/yes-i-was-hacked-hard)

FUENTE :http://www.genbeta.com/seguridad/el-soporte-tecnico-de-apple-concede-acceso-a-la-cuenta-icloud-de-mat-honan-a-hacker-que-se-hizo-pasar-por-el

Resulta realmente curioso lo que se puede llegar a conseguir a traves de la ingenieria social (tal y como se menciona algo sobre ingenieria social en el inicio de la noticia), y, tambien, lo problematico (en determinados casos, como el aqui mencionado en la noticia) que puede ser el hecho de no disponer de copias de seguridad de las cosas mas importantes de uno mismo, no se, o almenos eso creo yo.
Saludos.

Si lo piensas bién si tu tienes un macbook air, un iphone y un ipad... donde vas a meter la backup de todos tus dispositivos?, normalmente en tu macbook, por eso la noticia decia que cuando se habia apagado su iphone no le habia dado importancia porque tenia sus backups, pero claro, de seguro que estaban en su macbook que también fue formateado (recordar que todos los productos de apple pueden ser formateados remotamente desde tu cuenta de apple).

A raiz de esta noticia es  muy probable que otras personas intenten realizar el mismo truco para obtener cuentas agenas a traves de ingeniería social, talves se dió cuenta de los datos que te solicitaba apple y de alguna forma se hizo con ese dato y listo.
Por ejemplo en Chile puedes habilitar o dar de baja cualquier servicio de telefonia, internet, cable tan solo llamando desde el teléfono fijo de la casa y puedes decir que eres el presidente de la republica y listo.
Para ver tu estado de cuenta de algunas grandes tiendas comerciales solo te pide tu fecha de nacimiento y con eso sueltan todos tus datos, movimientos, creditos, etc.

Deberian utilizar algún tipo de confirmación como una contraseña o un número único que pueda digitarse a traves del teclado numérico del teléfono sin restricción de cantidad de números.

El aparato de apple debería tener alguna preferencia o algún lugar donde desactivar dicha opción para el formateado remoto, o si no bastaría simplemente con modificar el archivo hosts y bloquear los dominios de apple aunque siendo un dispositivo tan restrictivo que depende casi 100% de apple es bién dificil, si fuera android o google bastaría con desactivarlo, modificarlo del sistema operativo o simplemente bloqueando el dominio del fabricante y listo, no quedaría inservible como en el caso del iphone, pero en fin...

Es relativamente fácil falsificar el remitente del que llama.


En España por ley están obligados a grabar la conversación si es para contratar algo.