Attacco a Apple iCloud, 250 milioni di credenziali valide nelle mani di malintenzionati

Un gruppo di criminali informatici che pare aver base a Londra – Turkish Crime Family – afferma di essere i grado di accedere a 250 milioni di account Apple iCloud.
Se Apple non verserà, entro il prossimo 7 aprile, un riscatto milionario in Bitcoin, gli aggressori minacciano il reset automatico di tutte le password di accesso e la cancellazione remota del contenuto di tutti gli iPhone collegati ai vari account.

Stando alle prime verifiche, la minaccia sembrerebbe tutt’altro che un bluff: gran parte delle credenziali contenute in un set di dati di esempio sarebbero pienamente funzionanti e consentirebbero l’accesso agli account iCloud degli utenti.

Allo stato attuale, non è dato sapere come gli hacker abbiano potuto raccogliere una così vasta mole di credenziali d’accesso valide. Apple smentisce qualunque tipo di violazione sui suoi sistemi e sono gli stessi aggressori a confermarlo.
Dopo una prima analisi delle varie credenziali, si ipotizza che le informazioni di autenticazione iCloud siano state ricostruite aggregando dati provenienti da fonti diverse.
Alcuni utenti hanno ammesso di usare la stessa password anche su altri servizi online (uno dei comportamenti più sconsigliati in assoluto) (vedere Come scegliere e memorizzare password: World Password Day e Gestione password: come farlo in sicurezza).
Altri utenti, però, hanno fatto presente di utilizzare le credenziali di iCloud solo sul servizio di Apple. Se ciò fosse confermato, il quadro “si tingerebbe di giallo”.
Verosimilmente le credenziali potrebbero essere state sottratte direttamente sui sistemi e sui dispositivi degli utenti (ad esempio facendo leva su una campagna malware ben congegnata) ma allo stato attuale non ci sono indizi.

Come difendersi

Il miglior consiglio per difendersi e scongiurare qualunque rischio di attacco consiste nel cambiare immediatamente la password del proprio account iCloud (da questa pagina e attivare l’autenticazione a due fattori.

È bene anche riflettere sul contenuto del proprio account iCloud: nel caso in cui contesse dati sensibili – per esempio altre credenziali d’accesso – il consiglio è ovviamente quello di modificare le informazioni più critiche.

Nell’ultimo messaggio pubblicato da Turkish Crime Family, il gruppo afferma di disporre della sufficiente potenza di calcolo per operare il reset automatico di oltre 38 milioni di account iCloud all’ora.