最近有批自称是“Turkish Crime Family”的骇客,宣称已经取得6亿多个 Apple ID 的登入账密,并威胁 Apple 公司要透过 iCloud 远端删除所有配对的装置,除非 Apple 用支付等值 75,000 美元的比特币,或者是 10 万美元的 iTunes 礼品卡。科技媒体 ZDNET 表示目前能验证骇客提供的 54 个账号内有部分账号的密码可用,尽管目前不清楚账号资料是怎么弄来的。
对于骇客的叫嚣,一开始 Apple 的反应当然是毫不理会,第一时间检查了系统确认没有问题,认为骇客只是在唬人,但后来骇客将赎金翻倍到 15 万美元等值比特币。因此有媒体绘声绘影的说,Apple 资安部门为此与骇客们交涉,同时,也把资料交给美国当局。听起来事情越滚越大,快到了不可收拾的程度。
Apple 目前发表了一份声明,表示 Apple 的云端系统并没有被破坏与入侵的痕迹,既然没有被破坏,那么又哪来所谓的名单呢?因此外界推测账号名单理论上是透过其他管道取得,起码不是直接硬上系统弄来的。而 Apple 也表示,目前会积极监测流量以防止有心人未经过账号授权的登入,并寻求执法机关的协助。
一般来说只要有点名气的大型网站或服务,都是想出名的骇客团体或个人们的挑战目标,挑战成功了就有机会成名,即便出名的只是一个代号。在这个很多东西都云端化的现在,将密码设计得复杂是个重要的任务,也必需要有勤于换密码的习惯。Apple 也建议有疑虑的使用者第一时间立刻换密码,并加强密码破解难度。也尽量不要在所有的网络服务上使用相同的密码,更好的做法是开启两步骤验证(又称双重认证)来防堵隐私被侵犯的状况。
过去,骇客也曾依循类似的方法勒索过一般使用者或企业,像是破解得到账号使用权后,利用 Find My iPhone 功能远端锁定手机,借此索求钜额现金。大多数人多少都有怕麻烦的心理,平常一串密码就背得很辛苦,常常偷懒用 0000 或 1234 这种简单到几分钟就被盗账号的密码,但在这个网络时代,每一个网络账户都像是自己的身份证明,透过双重验证与更强的密码来强固自己的隐私资讯安全是相当必要的。
骇客们其实也不是突然蹦的一下就弄到一大笔资料,这群骇客还特地解释了为什么手上拥有这么多账号密码的原因,首先,自从 Apple 推出双重验证为首的多项资安政策后,这些 iCloud 账号变得越来越不值钱,另一方面,为了声援日前因为被指控从 Yahoo 偷了 5 亿组账号资料而锒铛入狱的两位骇客。既然账号不值钱了,那么跟 Apple 讨价还价看看,也许更有收获。但现在对大家来说,最好的自保方法,就是尽快改密码,设定双重认证。