Ook Amazon faalde bij social engineering-aanval

Niet alleen Apple, maar ook Amazon werd om de tuin geleid bij de social engineering-aanval waarbij accounts van een journalist werden gekraakt. Bovendien zegt de journalist aanwijzingen te hebben dat er meer slachtoffers zijn.

In een reconstructie schrijft Wired-journalist Mat Honan hoe een aanvaller toegang kreeg tot zijn Gmail-, iCloud- en Amazon-accounts. Maandag werd al bekend dat de 'hacker' erin slaagde om toegang te krijgen tot die accounts, waarbij een remote wipe op de iPhone, iPad en Macbook Air van de Wired-redacteur werd uitgevoerd. Hij had geen backup gemaakt van zijn apparaten. Ook kreeg de aanvaller toegang tot de Twitter-accounts van Honan zelf en van Gizmodo, waar Honan voorheen werkte.

Duidelijk was al dat de afdeling technische ondersteuning van Apple om de tuin was geleid door de aanvaller, die een medewerker van die afdeling zo ver kreeg om een nieuw, tijdelijk wachtwoord te verstrekken dat door hem kon worden gebruikt. Uit de reconstructie op Wired blijkt echter dat ook Amazon steken heeft laten vallen.

De eerste stap die de aanvaller nam, was het verzamelen van informatie. Via de password reset-functie van Gmail wist hij het iCloud-adres van Honan te achterhalen, waarnaar het wachtwoord werd verzonden. Het e-mailadres werd door Google getoond als m****n@me.com, maar dat was genoeg informatie voor de aanvaller. Daarnaast wist hij via de whois-database het adres van Honan te achterhalen.

Al deze informatie bij elkaar was nog niet voldoende om Apple zo ver te krijgen om een nieuw wachtwoord uit te geven; daarvoor had hij de laatste vier cijfers van de creditcard nodig. Die wist hij op een geraffineerde manier te ontfutselen bij de afdeling ondersteuning van Amazon. Eerst belde hij Amazon met de mededeling dat hij een nieuwe creditcard aan zijn account wilde toevoegen. Vervolgens belde hij opnieuw, met de mededeling dat hij zijn accountinformatie was vergeten. Daarvoor moesten bepaalde persoonsgegevens worden overhandigd, waaronder adresgegevens en de laatste vier cijfers van de creditcard. Aangezien de aanvaller die creditcard zelf had toegevoegd en over de adresgegevens beschikte, kreeg hij toegang tot het Amazon-account van Honan. Wired zegt deze aanval met succes te hebben kunnen reproduceren.

Vervolgens kon hij in het Amazon-account de laatste vier cijfers van alle aangekoppelde creditcards bekijken, waaronder de creditcard van Honan zelf, die hij ook gebruikte voor zijn iCloud-account. Hierdoor beschikte de aanvaller over genoeg informatie om toegang te krijgen tot het iCloud-account: de accountnaam, de adresgegevens en de laatste vier cijfers van de creditcard. Aangezien het iCloud-account het reserve-emailadres voor zijn Gmail-account was, kon de aanvaller hiermee weer toegang krijgen tot het Gmail-account en daaraan gekoppelde accounts, zoals dat van Twitter.

In een reactie tegenover Wired geeft Apple aan dat 'de interne procedures niet volledig zijn opgevolgd'. Het bedrijf zegt toe deze procedures na te lopen om misbruik te voorkomen. Amazon heeft nog geen reactie gegeven.

Overigens legt Honan een deel van de schuld bij zichzelf. Hij zegt dat hij niet alle accounts aan elkaar had moeten koppelen, dat hij zelf backups had moeten maken en dat het inschakelen van two-factor authentication bij Gmail een hoop schade had voorkomen. Wired tekent echter aan dat het signalen heeft ontvangen dat andere gebruikers onlangs op dezelfde wijze slachtoffer van social engineering zijn geworden.

De gang van zaken roept vragen op over de manier waarop bedrijven gebruikers toegang geven tot accounts als ze bellen met de helpdesk. In het geval van de iCloud-aanval waren de gegevens niet bijster moeilijk te achterhalen. Adres en accountnaam liggen voor veel kennissen voor het oprapen en hoewel de laatste vier cijfers van de creditcard minder makkelijk te achterhalen zijn, is dat niet onmogelijk, zoals deze aanval aantoont. Wired geeft daarnaast het voorbeeld van een pizzabezorger die de creditcardgegevens van klanten kan zien.