Un 'hacker' robó fácilmente cuentas de Apple, Amazon, Twitter y Gmail

La noche del viernes 3 de agosto de 2012, el periodista de tecnología de la prestigiosa revista Wired, Mat Honan, fue brutalmente hackeado.

En una serie de acontecimientos que Honan descifró en los siguientes días, los hackers aprovecharon vulnerabilidades de seguridad en Amazon y Apple para obtener acceso a su cuenta de iCloud. Después se apoderaron de su cuenta de Gmail, borraron remotamente todos los datos de su MacBook Air, iPhone y iPad, y también tomaron su cuenta de Twitter, así como la cuenta de Twitter de su exempleador, Gizmodo. 

El incidente puede parecer pequeño, ya que es solo la información de una persona, no una violación de miles de datos de tarjetas de crédito. Pero este incidente demasiado público,  ampliamente documentado por Honan en un artículo de Wired , puede ser una llamada de atención para muchos que almacenan su información en servicios en la nube, como Amazon, Apple y Google.

“Mi experiencia me lleva a creer que los sistemas basados en la nube necesitan fundamentalmente diferentes medidas de seguridad”, dijo Honan. “Los mecanismos de seguridad basados en contraseñas —que  pueden ser violados, borrados y socialmente gestionados —no son suficientes en la era de computación en la nube”.

Los piratas cibernéticos utilizaron técnicas muy básicas para lograr el hackeo. Encontraron la dirección del domicilio y del correo electrónico de Honan en línea, y después de algunas idas y vueltas con el área de soporte técnico de Amazon, utilizaron la información para obtener los últimos cuatro dígitos del número de tarjeta de crédito de Honan. Llamaron al servicio al cliente de Apple fingiendo ser Honan y utilizaron esos cuatro números, junto con su dirección de facturación, para acreditar falsamente su identidad y obtener acceso a la cuenta de iCloud de Honan y la cuenta asociada .Me. La cuenta .Me era el correo electrónico de respaldo de Honan para acceder a Gmail. Una vez que entraron a su Gmail, los hackers pudieron restablecer las contraseñas de las cuentas clave que utilizaban Gmail, incluyendo las de Twitter.

Una vez adentro, el hacker envió spam a los seguidores de Honan en Twitter y eliminó todos los datos de sus varios dispositivos. La opción remota de borrado es un servicio de seguridad ofrecido por Apple como parte de su característica Find My Mac/iPhone/iPad. Si los dispositivos asociados con el Apple ID son robados, el dueño puede ejecutar un borrado remoto para prevenir que sus datos caigan en las manos equivocadas.

La motivación del crimen parece ser banal. En conversaciones con Honan, uno de los hackers responsables reveló que solo quería la cuenta de Twitter de Honan de tres letras:  @mat.  “Honestamente no tenía nada contra ti antes de esto. Solo me gustaba tu nombre de usuario, como dije antes”, escribió a Honan. Borrar remotamente el contenido de las computadoras y dispositivos móviles de Honan y borrar permanentemente los datos, incluyendo 18 meses de fotografías de su hija, también se hizo sin ninguna razón, “Sí, soy un tipo bueno, no sé por qué hago algunas de las cosas que hago”, escribió el hacker.

Apple respondió con un comunicado oficial la noche de este lunes: “Apple toma la privacidad de los clientes seriamente y requiere múltiples formas de verificación antes de restablecer una contraseña de Apple ID. En este caso en particular, los datos del cliente fueron comprometidos por una persona que adquirió información personal del cliente . Además, encontramos que nuestras propias políticas internas no fueron seguidas completamente. Estamos revisando todos nuestros procesos para restablecer las contraseñas de las cuentas y asegurar que los datos de nuestros clientes estén protegidos”.

Sin embargo, mientras investigaba la violación el pasado fin de semana, Honan dijo que confirmó dos veces con el soporte técnico de Apple que solo dos piezas de información son necesarias para obtener acceso a una cuenta de iCloud: una dirección de facturación y los últimos cuatro dígitos de la tarjeta de crédito asociada con la cuenta.

Los reporteros de Wired dijeron que probaron el enfoque del hacker intentándolo exitosamente en otra cuenta ellos mismos. Amazon aún no comenta sobre el reporte.