Как, зная только имя и email человека, злоумышленники получили доступ ко всем его аккаунтам и удаленно уничтожили информацию на всех его устройствах.

Очень интересная статья появилась сегодня на wired.com. Буквально за один час у автора статьи Мэта Хонана были взломаны Amazon, GMail, Apple и Twitter аккаунты и была удаленно уничтожена информация на его iPad, iPhone и MacBook. Среди прочего он потерял все фотографии своей дочки с ее рождения, многие документы и большую часть переписки. Очень интересно в этой истории то, как злоумышленник получил доступ к Amazon аккаунту и AppleID — для этого не понадобилась ничего, кроме доступной в сети информации и телефона.

Злоумышленнику приглянулся трехбуквенный Twitter Мэта. С целью заполучить его, он провел небольшое исследование, в ходе которого обнаружил, что Twitter аккаунт Мэта содержал ссылку на его личный сайт, который, в свою очередь, содержал его GMail адрес. Имея GMail адрес, злоумышленник начал процесс восстановления пароля. Так как двухступенчатая авторизация у Мэта включена не была, гугл на первом экране восстановления пароля предоставил любезно обфусцированный альтернативный адрес: m****n@me.com. Сопоставив этот паттерн с gmail-адресом mhonan@gmail.com, злоумышленник получил Apple-овский email автора.
Первое, что было необходимо злоумышленнику для того, чтобы приступить к интересной части, это адрес Мэта, который легко обнаружился WhoIs сервисом в информации о его личном сайте. Имея адрес, злоумышленник позвонил в Амазон и сказал, что он владелец аккаунта и хочет добавить новую кредитную карту. Чтобы проверить, что злоумышленник действительно владелец аккаунта, Амазон спросил адрес, имя и email — вся эта информация у злоумышленника уже была, и он успешно ввел номер несуществующей кредитной карты, заблаговременно сгенерированный на одном из специализированных сайтов.
Затем он позвонил в Amazon опять, и сказал, что потерял доступ к своему Amazon аккаунту. Amazon попросил имя, адрес и номер кредитной карты. После предоставления этой информации (добавленный на предыдущем шаге номер кредитной карты подошел), злоумышленник смог добавить новый email адрес к аккаунту, на который восстановил пароль. В амазон аккаунте можно посмотреть список сохраненных кредиток, где, в целях безопасности, показываются только последние четыре цифры номера.
Затем злоумышленник звонит в AppleCare, где его спрашивают имя, адрес и последние четыре цифры кредитной карты, и выдают ему временный пароль на .me аккаунт. На этот аккаунт злоумышленник восстанавливает пароль от GMail, а на GMail пароль от Twitter. Используя AppleId он также удаляет всю информацию с iPhone, iPad и MacBook используя сервисы Find My Phone и Find My Mac. Печальный конец истории.

Позже Мэт связался с Apple, где ему сказали, что в данном конкретном случае внутренний рекламент не был соблюден в полной мере, и что Apple относится к безопасности пользователей очень серьезно. Амазону тоже был отправлен запрос от Wired, но пока что ответа не последовало.
Сегодня, спустя три дня после того, как все это произошло, ребята из Wired за несколько минут смогли целиком повторить весь фокус дважды — от адреса и имени до доступа к Amazon и Apple аккаунтам со всеми вытекающими последствиями.

Работать на благо тысячелетнего Рейха, не покладая...

-= л.223 =-

ГОСУДАРСТВЕННОЕ УЧРЕЖДЕНИЕ ПО ОБЕСПЕЧЕНИЮ СЕМЕЙНОГО ПРИРОСТА
БЕРЛИН
Дата почтовой печати
Господину...
20/1 2656/40
Вследствие закона о стерилизации большая часть немецких мужчин выпадает, другие обязаны в гораздо большем размере заниматься женщинами и девушками, чтобы поднять рождаемость. В кругах специалистов Вас считают особенно дееспособным и поэтому от Вас требуется принять столь почетный долг.
Одновременно указываем, что Ваша жена из-за выполнения указанного долга и ожидаемой Вашей слабости, не имеет оснований для развода. Вам отведен в округе (участке) номер 179/4, дом 10. Он охватывает 8 женщин и 19 девушек.
Если Вы к поручаемой Вам работе считаете не способным, Вы обязаны в течение 3-х дней с приложением врачебного документа с подписями 3-х врачей-специалистов сообщить вышеуказанному учреждению. Если Вы, как мы ожидаем, кроме своего участка можете принять еще другой, тогда после испытания Вашей дееспособности Вам присваивается звание рыцаря и офицера-производителя и выделяется большой участок (округ).
Вы получите, кроме премии 1000 марок, еще орден оплодотворения на красной ленте 1 класса.
Указываем, что Ваши действия освобождают Вас от всякого налога и при наступлении служебной неспособности Вы имеете право на пенсию. Для предупреждения упадка Ваших сил Вы сможете получить в Вашем полицейском участке добавочную карточку на жиры, масло и яйца.
Список женщин, которых Вы должны обрабатывать, будет прислан Вам отдельно. Вы должны оплодотворить предназначенных Вам дам по указанному в списке порядку, чтобы избежать возможных недоразумений между дамами с одной стороны и с другой, чтобы не допустить Вашего бездействия в связи с периодом менструации у женщин.
Заявления об отпуске бесполезны. Мы требуем, чтобы Вы свои действия начали немедленно и каждые 9 месяцев сообщать нам подробно о результатах.
-= л.224 =-

Мы надеемся, что Вам удастся оправдать самые избалованые вкусы вверенных Вам женщин.
Государственное учреждение по обеспечению семейного прироста
М.А.(подпись неразборчива)
Оригинал этого перевода изъят у немецкого офицера

Машинопись, рукописные карандашные пометки "исх.№20.225 30.8.41"
ф.228 (ЮФ), оп.709 (разведотдел), д.64 "Протоколы допросов, опросные листы и обзоры показаний военнопленных; обзоры писем немецких солдат и офицеров; переводы трофейных документов
- Информационная разведсводка штаба артиллерии ЮФ от 12 декабря 1941 г. с приложением схемы лл. 380-386" июль 41 - декабрь 41 397 л