FBI og Apple leita þrjótanna: Lawrence-lekinn í hnotskurn

Bæði bandaríska alríkislögreglan (FBI) og fyrirtækið Apple rannsaka nú hvernig tölvuþrjótar komust inn á reikning fjölda þekktra einstaklinga og stálu myndum af þeim.

Myndirnar hafa birst á netinu, upphaflega í gegnum vefsíðuna 4chan. Mesta umfjöllunin í erlendum fjölmiðlum hefur verið um myndir sem birtust af leikkonunni Jennifer Lawrence. Myndir af henni nakinni hafa gengið um netheima og hefur mikil umræða farið fram um siðferði þeirra sem hafa leitað myndirnar uppi og hefur talskona leikkonunnar sagt að þeir miðlar sem birti myndirnar verði lögsóttir.

Líklegt að þeir hafi brotist inn í ský

Ekki er enn vitað hvernig tölvuþrjótarnir komust í myndirnar. Talið er að þeir hafi brotið sér leið inn á svokallaða iCloud-reikninga, en iPhone símar Apple geta vistað allar myndir á þessi svokölluðu ský. Skýin gera það að verkum að ef fólk týnir síma sínum, getur það endurheimt myndirnar. Þannig eru þær myndir sem teknar eru á iPhone-síma aðgengilegar í gegnum netið, en varðar með lykilorðum.

Talið er líklegt að tölvuþrjótarnir hafi nýtt sér öryggisgalla í forritinu Find My iPhone, sem – eins og nafnið gefur til kynna – hjálpar eigendum að finna símann sinn ef hann týnist eða ef honum er stolið. Í vikunni fannst kóði á vefsíðunni GitHub, sem tölvuþrjótar gátu notað til þess að gera ítrekaðar tilraunir til að komast inn í Find My iPhone forrit annarra, án þess að eiganda símans væri gert viðvart. Kóðinn sem fannst á Github er python-forrit sem er kallað ibrute.

Komust inn á alla reikninga

Þrjótarnir gátu þannig nýtt sér forritið til þess að giska á lykilorð og þannig brotið sér leið inn í Find My iPhone forrit þeirra frægu. Þegar þrjótarnir voru komnir þangað inn voru þeir komnir með hið svokallaða Apple ID lykilorð, sem hleypti þeim inn á Apple iCloud reikninga. Þannig hefðu þeir getað komist inn í myndir og skilaboð að eigin vild. Þeir hefðu svo getað samkeyrt iCloud-reikninginn sem þeir brutust inn á við sinn eigin síma og þannig náð reikningnum fullkomlega á sitt vald.

Apple hefur nú uppfært Find My iPhone þjónustuna og komið í veg fyrir að hægt sé að gera fleiri en fimm misheppnaðar innskráningar í röð og þannig lokað fyrir þennan öryggisgalla.

„Alltof margir eru með einföld lykilorð“

Owen Williams, sem skrifar á vefinn The Next Web, hefur fjallað mikið um málið. Hann var einn af þeim fyrstu sem fjallaði um þennan galla í öryggiskerfi Apple. „Við vitum ekki með fullri vissu hvort að þrjótarnir fóru þessa leið,“ segir hann og bætir við: „En það er ákaflega líklegt, ef við skoðum þetta út frá tímasetningunni sem Python kóðinn fannst og hvenær myndirnar fóru í dreifingu.“ Williams segir þessa leið – að nota forrit sem giska á lykilorð til að brjótast inn á varðar síður og reikninga – vera algenga hjá tölvuþrjótum. „Með nægri þolinmæði og nógu löngum tíma er þetta hægt. Tölvuþrjótarnir nota þá söfn með algengustu lykilorðunum og samkeyra þær með forritum sem gera tilraunir til að brjótast inn á varðar síður. Alltof margir eru með einföld lykilorð og eru með sama lykilorðið á mörgum reikningum og síðum.“

Rannsókn FBI

Laura Eimiller er talskona FBI. Hún segir að þar á bæ séu menn „meðvitaðir um meinta tölvuglæpi og birtingu á myndum af þekktum einstaklingum.“ Eimiller segir að ekki sé hægt að tjá sig meira um rannsóknina að svo stöddu en bætir því þó við að FBI sé að beita sér í málinu.

Alls er talið að brotist hafi verið inn á reikning rúmlega eitthundrað frægra einstaklinga og myndir birtar af þeim á vefsíðunni 4Chan. Meðal þeirra sem nektarmyndir birtust af eru Avril Lavigne, Cat Deely og Rihana. Leikkonan Mary Elizabeth Winstead, sem lék meðal annars í kvikmyndinni A Good Day to Die Hard, hefur tjáð sig um nektarmyndir sem birtust af henni. „Til ykkar sem eruð að horfa á myndir sem eiginmaður minn og ég tókum af okkur í svefnherberginu okkar, á heimili okkar: Vonandi líður ykkur vel með ykkur sjálf.“

Apple kannar málið

Starfsmenn Apple brugðust við gallanum sem gerði það að verkum að hægt var að nota python kóðann. Tölvuþrjótar sem nota GitHub-vefinn sögðu í kjölfarið: „Fjörið er búið. Apple er búið að laga gallann.“

Nat Kerris sagði, í yfirlýsingu, fyrir hönd Apple að fyrirtækið ætlaði að kanna málið. „Við leggjum mikið upp úr því að gögn viðskiptavina okkar séu örugg. Við munum rannsaka málið ítarlega.“

Þessi innrás tölvuþrjótana á iCloud-reikninga þekktra einstaklinga er talin koma á sérstaklega slæmum tíma fyrir Apple. Eftir rétta viku verður nýr sími frá fyrirtækinu kynntur til sögunnar og hefur verð á hlutabréfum í fyrirtækinu verið að hækka stöðugt síðan það spurðist út að kynna ætti þennan nýja síma; með stærri skjá en áður. Innrásin virðist þó ekki enn hafa haft teljandi áhrif á virði hlutabréfa Apple, en samkvæmt nýjustu fréttum frá Bandaríkjunum virðast þau enn vera að hækka í verði.

Hvað geta notendur gert?

Margir velta því fyrir sér hvað þeir geta gert til að koma í veg fyrir að tölvuþrjótar komist í þeirra gögn. Woodrow Hartzog þekkir vel til tölvuöryggis og kennir fagið við lagadeild Stanford-háskólans. „Öryggi tölvugagna hefur aldrei verið mikilvægara. Mörg okkar geyma gögn um okkar helstu og innilegustu minningar á netinu. Því er gríðarlega mikilvægt að þau séu eins varin og hægt er.“

Hann segir afar erfitt að koma myndum úr dreifingu á netinu, eftir að þeim hefur lekið út.

Stefano Ortolani, annar sérfræðingur í tölvuöryggi, segir: „Mikilvægt er að velja úr hvaða gögn eiga að fara á netið og hvaða gögn eiga að vera geymd á hörðu drifi. Það er líka mikilvægt að fólk kynni sér stillingar á forritunum sínum, því sum þeirra setja myndir beint á netið.“