कैसे, केवल व्यक्ति का नाम और ईमेल पता जानने के लिए, हमलावरों ने उसके सभी खातों तक पहुंच प्राप्त की और अपने सभी उपकरणों की जानकारी दूरस्थ रूप से हटा दी

एक बहुत ही दिलचस्प लेख आज wired.com पर दिखाई दिया। शाब्दिक रूप से एक घंटे में, लेख के लेखक, मैट होनैन ने अमेज़ॅन, जीमेल, ऐप्पल और ट्विटर खातों में हैक किया और अपने आईपैड, आईफोन और मैकबुक की जानकारी को दूरस्थ रूप से हटा दिया। अन्य बातों के अलावा, उन्होंने अपनी बेटी की सभी तस्वीरों को उसके जन्म, कई दस्तावेजों और अधिकांश पत्राचार से खो दिया। इस कहानी में बहुत दिलचस्प है कि कैसे एक हमलावर ने अमेज़ॅन खाते और AppleID तक पहुंच प्राप्त की - इसके लिए, जानकारी और नेटवर्क पर उपलब्ध एक फोन के अलावा कुछ भी आवश्यक नहीं था।

हमलावर को मैट का तीन अक्षरों वाला ट्विटर पसंद आया। इसे प्राप्त करने के लिए, उन्होंने थोड़ा शोध किया, जिसके दौरान उन्हें पता चला कि मैट के ट्विटर अकाउंट में उनकी निजी वेबसाइट का लिंक है, जो बदले में, उनके जीमेल पते को समाहित करता है। GMail पता होने के बाद, हमलावर ने पासवर्ड पुनर्प्राप्ति की प्रक्रिया शुरू की। चूंकि मैट में दो-चरणीय प्राधिकरण नहीं है, इसलिए पहली पासवर्ड रिकवरी स्क्रीन पर Google ने कृपया एक अच्छा ओफ़्स्कुलेटेड वैकल्पिक पता प्रदान किया: m****n@me.com। इस पैटर्न को gmail पते mhonan@gmail.com के साथ मिलान करके, हमलावर को लेखक का Apple ईमेल प्राप्त हुआ।
पहली बात यह है कि एक हमलावर को दिलचस्प हिस्से को आगे बढ़ाने के लिए आवश्यक मैट का पता था, जिसे उसकी व्यक्तिगत साइट के बारे में जानकारी में हूआई सेवा द्वारा आसानी से पता लगाया गया था। पता होने के बाद, हमलावर ने अमेज़ॅन को फोन किया और कहा कि वह खाते का मालिक है और एक नया क्रेडिट कार्ड जोड़ना चाहता है। यह सत्यापित करने के लिए कि हमलावर वास्तव में खाते का मालिक है, अमेज़ॅन ने पता, नाम और ईमेल के लिए पूछा - यह सभी जानकारी हमलावर के पास पहले से थी, और उसने विशेष साइटों में से किसी एक पर अग्रिम में उत्पन्न गैर-मौजूद क्रेडिट कार्ड की संख्या दर्ज की।
फिर उन्होंने अमेज़ॅन को फिर से बुलाया और कहा कि वह अपने अमेज़ॅन खाते तक पहुंच खो चुका है। अमेज़न ने नाम, पता और क्रेडिट कार्ड नंबर मांगा। यह जानकारी (क्रेडिट कार्ड नंबर पिछले चरण में जोड़ा गया) प्रदान करने के बाद, हमलावर उस खाते में एक नया ईमेल पता जोड़ने में सक्षम था जिस पर उसने पासवर्ड रीसेट किया था। अपने अमेज़ॅन खाते में आप सहेजे गए क्रेडिट कार्ड की सूची देख सकते हैं, जहां, सुरक्षा कारणों से, संख्या के अंतिम चार अंक प्रदर्शित किए जाते हैं।
फिर हमलावर AppleCare को कॉल करता है, जहां उसे क्रेडिट कार्ड का नाम, पता और अंतिम चार अंक मांगे जाते हैं, और वे उसे .me खाते के लिए एक अस्थायी पासवर्ड देते हैं। इस खाते में, हमलावर GMail से पासवर्ड पुनर्प्राप्त करता है, और Twitter से पासवर्ड GMail करता है। AppleId का उपयोग करते हुए, यह फाइंड माई फोन और फाइंड माई मैक सेवाओं का उपयोग करके आईफोन, आईपैड और मैकबुक से सभी सूचनाओं को हटा देता है। कहानी का दुखद अंत।

बाद में, मैट ने Apple से संपर्क किया, जहां उसे बताया गया कि इस विशेष मामले में, आंतरिक नियमों का पूरी तरह से पालन नहीं किया गया था, और यह कि Apple उपयोगकर्ता सुरक्षा को बहुत गंभीरता से लेता है। वायर्ड से एक अनुरोध भी अमेज़ॅन को भेजा गया था, लेकिन अभी तक कोई प्रतिक्रिया नहीं मिली है।
आज, यह सब होने के तीन दिन बाद, कुछ मिनटों में वायर्ड के लोग पूरी तरह से दो बार पूरा ध्यान केंद्रित करने में सक्षम थे - पते और नाम से लेकर सभी आगामी परिणामों के साथ अमेज़ॅन और ऐप्पल खातों तक पहुंच।