Por Guillaume Lovet, senior manager del Equipo de Investigación de Amenazas FortiGuard en Fortinet
Las opciones son: una brecha de seguridad Cross-site, la infraestructura
de
iCloud ha sido hackeada, ataque de fuerza bruta sobre iClouds o la
red Wifi de los Premios Emmy ha sido hackeada.
¿Quién está detrás de esta acción?
La
lista de celebrities hackeadas fue publicada por un usuario anónimo con ID
ffR+At7b y
UggsTju5. Su identidad es hasta ahora desconocida. Todavía no hay certeza si es un único usuario el que está detrás de esta filtración.
Uno de ellos podría ser el joven de 26 años de Lawrenceville, Georgia,
cuya identidad ya se ha hecho pública. Ha admitido haber tratado de
vender en Reddit fotos de desnudos por US$100, bajo el seudónimo
BluntMastermind, pero niega ser el responsable de esta filtración. No
obstante, parece que tiene suficientes conocimientos (al ser
administrador de servidores) y ha publicado pantallazos con gran
similitud a los de 4chan (aunque defiende que son imágenes trucadas).
Además, en el espacio de 4chan, donde fue publicada la
información, es
/b/ – Random, utilizado para colgar trabajos artísticos de ficción.
La descripción de este espacio es
"Only a fool would take anything posted here as fact" (Solo un tonto tomaría como cierto lo publicado aquí).
Las cuentas de Twitter (e.g
@Callux) que han publicado las
imágenes han sido clausuradas y algunas celebrities han amenazado con
emprender acciones legales contra estos usuarios.
¿Cómo accedieron a esas imágenes?
A día de hoy, todavía se desconoce cómo se ha producido esta filtración.
Asumiendo que se hubiera producido una brecha de seguridad en
iCloud, podrían apuntarse distintas hipótesis:
- Brecha de seguridad Cross-site: Las direcciones de email y las
claves se han obtenido por una brecha/filtración de otro sitio web. Si
éstas fueran las mismas claves que utilizan para identificarse en
iCloud, sería fácil acceder a lo almacenado en esta nube. Esta parece
ser la hipótesis más probable.
- La infraestructura de iCloud ha sido hackeada: lo que daría acceso a
fotos no cifradas o a otros servicios de Apple como el de recuperación
de claves. No tenemos conocimiento de que iCloud haya sido atacada.
- Ataque de fuerza bruta sobre iClouds: Dos investigadores, Andrey
Belenko y Alexey Troshichev, demostraron que era posible y desarrollaron
una herramienta llamada iBrute. Apple parcheo esta vulnerabilidad el 1
de septiembre de 2014. Esta hipótesis es la menos probable ya que
implicaría que los atacantes han tenido acceso, en primer instancia, a
los AppleID . Las celebrities, al igual que cualquier usuario, no
siempre utilizan claves complejas para proteger sus cuentas, aunque sí
cuidan la privacidad de sus cuentas de correo electrónico, para no
recibir spam de sus fans.
- La red Wifi de los Premios Emmy ha sido hackeada: Esta hipótesis
implicaría que los certificados han sido comprometidos o que un SSL
desconocido ha sido aprovechado por los hackers (con capacidad para
secuestrar un sistema WiFi). Este es el escenario menos plausible.
- También es posible que no se haya producido ninguna brecha de
seguridad en iCloud, o que no sea la única. De hecho parece posible que
varios hackers hayan reunido las fotos procedentes de varios sitios:
- Algunas de las imágenes parece que han sido tomadas con dispositivos
Android o webcam. No hay razón para que estas imágenes estén en iCloud,
a no ser que fueran movidas a esta nube por sus propietarios.
- El PhotoStream de Apple solo mantiene la foto que se sube a iCloud
durante 30 días. Este hecho no cuadra con las declaraciones realizadas
por algunas celebrities que afirman que las imágenes eran antiguas.
- Además de fotos, se han filtrado vídeos. iCloud no sincroniza la subida de vídeos.
¿Ha sufrido iCloud algún ataque más durante este año?
Sí. En marzo de 2014 un hacker aprovechó una funcionalidad de Find My
iPhone de Apple para bloquear los dispositivos iPhone y pedir un rescate
por su liberación.
¿Qué puede hacer Apple para evitar este tipo de ataques?
- Apple utiliza el sistema de autenticación de doble factor en My Apple ID, no para las cuentas en iCloud.
- Contar con un sistema de doble autenticación en iCloud podría haber
prevenido al menos una parte de la filtración: la combinación de
ID/claves procedente de brechas de otras bases de datos no hubiera sido
suficiente para identificarse en iCloud y descargarse las fotos.
- Hay que tener en cuenta que Dropbox cuenta con un el sistema de autenticación de doble factor, como servicio opcional.
¿Qué pueden hacer los usuarios para no ser hackeados?
- Utilizar diferentes claves para las distintas cuentas y servicios
que tengamos. Si compartimos claves en varias cuentas, al menos cambiar
la clave de Apple.
- Utilizar una clave robusta.
- Recordar que la nube no es inviolable y, consecuentemente, aplicar
el sistema de autenticación de doble factor siempre que sea posible.
Respecto a iCloud, se puede evitar la subida automática de fotos desde
un dispositivo Apple a la nube desabilitando Settings → iCloud → Photos →
My Photo Stream.
Fuente:
DiarioTI 
