Quella che vi raccontiamo oggi è la storia di Mat Honan, giornalista statunitense, e di come abbia visto sparire la propria identità digitale a causa di qualche cattiva abitudine, di un hacker e di alcune falle nella sicurezza di Apple ed Amazon.
La storia, raccontata in un articolo ricco di dettagli, spiega come un hacker (nickname Phobia) a scopo dimostrativo abbia rubato l'account Twitter del malcapitato giornalista, senza dover ricorrere ad attacchi del tipo brute force o al furto dei dati d'accesso mediante trojan o simili.
Per rubare l'identità digitale di Honan l'hacker ha sfruttato tutta una serie di falle nella sicurezza di servizi che usiamo quotidianamente. Si tratta dunque di un rischio che corrono quasi tutti gli utenti.
Vediamo come si è svolta la storia.
Falla in Gmail
Tutto è partito dall'account di posta elettronica su Gmail, per chiunque è abbastanza facile reperire un indirizzo di posta Gmail, tramite la ricerca utente e Google+, e supponendo che quell'email fosse stata usata per l'account di Twitter ha semplicemente proceduto al richiesta di recupero password, cosa che può fare chiunque.
Honan non aveva abilitato la funzione verifica in due passaggi che aumenta notevolmente la sicurezza degli account Google, quindi l'hacker è riuscito a scoprire anche l'indirizzo secondario usato per il recupero della password, che anche se parzialmente oscurato da Google restava comunque facilmente individuabile (M****Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo.).
La falla in Amazon
I dati di relativi alla carta di credito sono stati recuperati da Amazon.
Il callcenter di Amazon è veramente molto efficiente, forse anche troppo.
A Phobia è stato sufficiente spacciarsi per il titolare del conto (ormai molti dati importanti li aveva già recuperati) e chiedere di aggiungere una nuova carta di credito al proprio account (online è possibile generare finti numeri di carte di credito). Successivamente ha ricontattato l'assistenza clienti Amazon dicendo di aver smarrito le credenziali di accesso email e richiedendo la sostituzione con una nuova email utilizzando la nuova carta di credito come credenziale di riconoscimento.
Una volta ottenuto l'accesso all'account Amazon è un gioco da ragazzi recuperare le ultime 4 cifre della carta di credito.
La falla di Apple
Si può penetrare in un'email associata con Apple
Questa l'affermazione di Phobia, che partendo dall'account del servizio iCloud di Apple, ha preso possesso dell'iPhone, dell'iPad e del MacBook del malcapitato giornalista.
Impossessarsi dei dati di accesso ad un account Apple è difficile ma non è impossibile, servono:
- L'indirizzo email dell'account
- L'indirizzo fisico della fatturazione
- Le ultime 4 cifre della carta di credito
L'indirizzo email era già in suo possesso, quello fisico è stato facilmente recuperato tramite un servizio online che fornisce gli indirizzi dei cittadini statunitensi, la parte più difficile è stata recuperare i dati della carta di credito e grazie ad Amazon ora erano in suo possesso.