Взлом Apple ID выявил риски централизованной идентификации

«Я стал объектом изощренного взлома моего Apple ID, что привело к значительным эмоциональным и финансовым потерям», — сказал Амро Шихада, бывший главный операционный директор Nillion и финансовый специалист с опытом работы в традиционных финансах, блокчейне и технологиях искусственного интеллекта. — Мой опыт технологического предпринимателя означал, что я знал о важности многофакторной аутентификации и предупреждающих знаках замены SIM-карты и принимал меры предосторожности. Несмотря на это, однажды вечером в январе прошлого года я стал жертвой наглого нападения, а такое может случиться с каждым».

У Шихада есть Apple ID с момента его изобретения. Он купил программное обеспечение, фильмы, телешоу и оборудование на десятки тысяч, а может быть, и на сотни тысяч долларов. Внезапно ему сообщили, что было совершено 15 000 попыток входа.

«Это было буквально «Бум, бум, бум», — говорит Шихада. — Я нажал «Не позволяй, не позволяй, не позволяй».

Затем ему позвонил кто-то, утверждавший, что работает в службе технической поддержки Apple. У него была подробная информация о том, сколько устройств было у Стихада и когда они в последний раз использовались — даже откуда поступали попытки входа в систему. Многие ничего не подозревающие жертвы сочли бы этот звонок правдоподобным, но Шихад был встревожен и отказался сообщить звонившему коды, отправленные ему, которые были отправлены на его телефон с того же номера, который Apple использовала для отправки кодов подтверждения в прошлом.

«Я решил напрямую позвонить в Apple, чтобы разобраться в происходящем, но кошмар только начинался», — вспоминает Шихада. — Злоумышленнику удалось получить доступ к моему аккаунту. Я объяснил, что происходит, но женщина из Apple, по сути, сказала мне: «Примите свои потери».

Шихада был технически подкован и знал, что его Apple ID потенциально исчезнет навсегда, но у него были невзаимозаменяемые токены (NFT) и изображения, которые он хранил в течение двух лет. У него был доступ ко многим корпоративным счетам, брокерским счетам – всему остальному, что он не хотел терять:

«И она просто продолжала говорить: «Прими свою потерю, прими свою потерю, прими свою потерю».

На иллюстрации Wall Street Journal за 2023 год показано, как можно взломать учетные записи Apple, если у злоумышленников есть пароль iPhone. Источник: Wall Street Journal.

«Я боролся за защиту своих активов и начал перемещать свою бумажную валюту в безопасное место, но моя криптовалюта уже была переведена на кошелек вне моего контроля и ликвидирована», — вспоминает Шихада. «Затем мне поступил анонимный звонок от кого-то, использующего голосовой модулятор, со страшным сообщением: «Проверьте свой Telegram». Были отправлены сообщения о том, что мой Apple ID и активы будут возвращены, если будут переданы номера телефонов и адреса электронной почты трех других людей. Но я отказался, сказав нападавшему, что он выбрал не того человека».

Шихада начал писать в Твиттере о ситуации, и хакер запаниковал. Он пригрозил опубликовать фотографии четырехмесячной дочери Шихада, поэтому удалил твит.

«Но они продолжали присылать сообщения, а потом сказали, что я верну свой Apple ID, если не буду публиковать сообщения в Интернете в течение 48 часов. Но через три дня стойки ворот снова сдвинулись. Теперь злоумышленник потребовал 50 тысяч долларов», — говорит Шихада.

При этом преступник признался ему:

«Обычно я нахожу людей, которые делают что-то не так или имеют конфиденциальную информацию, которую я у них вымогаю».

Месяцы террора

В течение следующих трех месяцев злоумышленник пытался вымогать у Шихада деньги и информацию и терроризировать его – это был стресс, который жертве приходилось скрывать от жены и дочери.

«Что еще хуже, мои лимиты на снятие средств с Amex и Chase были сокращены, а мой кредитный рейтинг резко упал», — говорит Шихада.

Не испугавшись, он продолжал обмениваться сообщениями и звонками с человеком, который украл его личность, постепенно собирая гигабайты улик против преступника.

«Я и не подозревал, что преступник уже привлек внимание правоохранительных органов после того, как ему было предъявлено обвинение в подмене SIM-карты, и детективы вскоре поняли, что это была верхушка айсберга. «Поскольку украденные средства были использованы в Cash App и Venmo, следователи смогли собрать все воедино и идентифицировать меня как жертву», — говорит Шихада. «Когда позвонил агент ФБР, я смог дать подробное описание ответственного лица, и этого было достаточно, чтобы получить ордер. Они пошли и ворвались в его дом. Этот парень был в моем Apple ID».

Позже расследование показало, что жертв было еще около 20. Большинство из них были женщинами. Шихад был единственным, кто не побоялся высказаться и предоставил суду письменное заявление. Это побудило судью удвоить срок наказания до восьми лет без права досрочного освобождения, хотя хакер признал себя виновным и заявил о своих сообщниках. Федеральное дело находится на рассмотрении, а преступник находится в тюрьме в ожидании суда.

Защитите свою цифровую личность

«Это было одно из самых травмирующих событий в моей жизни», — признается Шихада. «Тем временем, бесчисленные миллионы людей по всему миру продолжают полагаться на свои Apple ID в повседневной жизни, не подозревая об ущербе, который наносит взлом. Я не осознавал, что Apple — это моя цифровая личность, пока не стало слишком поздно».

Злоумышленник был частью более широкой и сложной схемы: мошенники нагло рекламировали вакансии, приглашая соискателей присоединиться к ним. Люди, которых они наняли, думали, что на самом деле работают на поддержку Apple, хотя на самом деле они невольно участвовали в финансовых преступлениях.

«Новые решения по распознаванию речи срочно необходимы для лучшей защиты общества, тем более что чей-то голос можно воссоздать и использовать менее чем за 30 минут», — говорит Шихада. «Без таких решений мы действительно не сможем проверить, с кем разговариваем». Цифровая идентификация станет ядром Web3. Наш коммуникационный стек как общества, как цивилизации в настоящее время вызывает смущение. Настоящая цифровая идентичность позволяет вам брать на себя ответственность за свои данные и решения. Теперь я могу получать информацию от своего врача и хранить ее в своем хранилище. Я могу защитить свою финансовую информацию. Я могу взять все это. Я хочу быть уверен, что подобное никогда не повторится ни с кем другим. Я собираюсь получить от Apple возмещение за все покупки, которые я сделал за последние 20 лет, в качестве компенсации и хотел бы поделиться своим неудачным опытом со всеми.

Шихада советует:

• Следуйте строгому графику и ведите строгий учет.
• Убедитесь, что сотрудник правоохранительных органов, с которым вы разговариваете, также делает записи.
• Запишите дату и время звонка, а также имя и данные сотрудника.
• Свяжитесь с местной полицией и расскажите им, что с вами случилось.
• Составьте подробный отчет IC3, поскольку он помогает федеральным властям задерживать преступников.

«После того, как я испытал разрушительные последствия молниеносной кражи моей цифровой жизни, я считаю, что есть только один ответ: децентрализованные идентификационные данные, которые полностью зашифрованы и хранятся в безопасном кошельке», — заключает Шихада.