21 марта 2017 года стало известно, что хакерская группа Turkish Crime Family пытается шантажировать компанию Apple. Злоумышленники утверждают, что они имеют доступ к сотням миллионов аккаунтов (по разным данным от 200 млн до 559 млн). От компании Apple вымогатели требуют либо $75 000 в Bitcoin или Ethereum, либо $100 000 подарочными картами iTunes. Если Apple не заплатит до 7 апреля 2017 года, хакеры угрожают стереть все пользовательские данные из iCloud и удаленно обнулить чужие iPhone.
Представители Apple уже сообщили, что хакеры ничего не взламывали и не проникали на серверы компании. В Apple говорят, что email адреса и пароли, которыми похваляются злоумышленники, это результат утечек данных различных сторонних сервисов.
Журналисты издания ZDNet решили разобраться в ситуации и связались с представителями Turkish Crime Family самостоятельно. Хакеры косвенно подтверждают слова сотрудников Apple: они тоже говорят, что не взламывали системы Apple, однако в то же время некоторые пароли, которыми обладают злоумышленники, использовались исключительно для iCloud.
Журналистам удалось получить образец данных из якобы многомиллионной базы, которая имеется в распоряжении группировки. Для верификации Turkish Crime Family предоставили учетные данные от 54 аккаунтов. Все они оказались действительны, если судить по доступности функции сброса пароля.
Среди аккаунтов были учетные записи на icloud.com, датированные 2011 годом, а также на me.com и mac.com, зарегистрированные в начале 2000-х. Полученный образец дампа представлял собой простой список email-адресов и паролей, в формате обычного текста, так что данные действительно могли быть собраны из различных сторонних источников.
В рамках расследования редакция ZDNet связалась с каждым из этих 54 человек отдельно, чтобы проверить подлинность паролей. Большинство пользователей оказались более недоступны и не ответили через iMessage. Тем не менее, 10 человек, с которыми удалось выйти на связь, подтвердили, что их пароли верны и не менялись с самой регистрации аккаунта iCloud. Еще один человек подтвердил подлинность пароля, но сообщил, что пароль старый, использовавшийся около двух лет назад. Это позволяет предположить, что утечка произошла где-то между 2011 и 2015 годами.
Также большинство опрошенных подтвердили, что они применяли email-адрес и пароль от iCloud для других сервисов и сайтов, таких как Facebook или Twitter. Хотя, как было сказано выше, трое опрошенных заявили, что их учетные данные применялись только для iCloud, и эту аномалию журналисты пока не в силах объяснить.
Двое опрошенных отметили, что недавно кто-то пытался сбросить пароль от их аккаунта iCloud. Еще один пользователь получил и предупреждение о странной попытке входа в Twitter, для которого он использует те же учетные данные, что для iCloud. Все попытки входа осуществлялись из Лондона (именно там, судя по всему, базируется Turkish Crime Family) и через разные браузеры.
Исследователи пишут, что если судить по общению с разными участниками Turkish Crime Family, члены группировки наивны и неопытны, а также очень хотят известности и жаждут, чтобы про них писали СМИ. К примеру, как только журналисты начали задавать вопросы, разговор моментально свернул в другое русло: хакеров очень интересовало, покажут ли о них сюжет в CBS News. Дело в том, что владельцем ZDNet выступает именно CBS.
NBC news reporting on #7April2017 #TurkishCrimeFamily #iCloud pic.twitter.com/lfaqCvgz62
— Turkish Crime Family (@turkcrimefamily) March 23, 2017
Кроме того, группировка показалась журналистам плохо организованной, а ее участники неспособными соблюдать иерархию и выполнять приказы. Так, судя по всему, один из членов группы, следивший за Twitter-аккаунтом, недавно вообще был «уволен». Кстати, в Twitter группировка пишет о том, что сумма $75 000 неверна, потому что ее придумала пресса. Якобы на самом деле сумма выкупа куда больше.
По итогам проведенного расследования ZDNet так и не удалось определить, действительно ли происходит что-то серьезное, или же группа блефует. Как бы то ни было, журналисты рекомендуют пользователям превентивно сменить пароли от iCloud, а также использовать двухфакторную аутентификацию.
