Apple-gebruikers melden willekeurige resets van wachtwoorden voor Apple ID's

Apple-gebruikers maken melding van geforceerde wachtwoordresets op hun Apple ID's. De aanleiding voor de resets is onduidelijk en het lijkt ook te gebeuren bij gebruikers die zeggen een uniek wachtwoord en tweetrapsauthenticatie te gebruiken.

Op Reddit en MacRumors maken gebruikers melding van het euvel, dat zich ongeveer sinds afgelopen dinsdag voordoet. Ook bij Tweakers komen meldingen binnen van gebruikers die ermee te maken krijgen. De resets lijken niet te gaan om ongeautoriseerde inlogpogingen, aangezien Apple daarvan normaal gesproken melding maakt bij de gebruiker. Gebruikers kunnen Apple-producten en diensten die aan een Apple ID gekoppeld zijn, pas weer gebruiken als ze het resetproces doorlopen hebben.

Apple heeft nog niet op de zaak gereageerd, behalve dan dat de klantenservice op Twitter gebruikers met het probleem naar de generieke supportpagina verwijst. Anonieme Apple-bronnen van AppleInsider stellen dat het niet om een bug lijkt te gaan en dat het om een klein percentage gebruikers zou gaan.

Reacties (47)

[m4ikel]

Het lijkt me sterk dat er opeens een bug optreed die Apple ID's in locked mode zet. Het zou mij dus niks verwonderen als het een vorm van damage control is en er ergens gegevens zijn uitgelekt, of andere case is dat het algoritme dat misbruik detecteert de fout in gaat.

[Reactie gewijzigd door m4ikel op 23 juli 2024 10:11]

[WhatsappHack]

Het kan ook zijn dat ze een fleet wilde upgraden en het bij een paar nodes mis is gegaan, dan gaat of het wachtwoord verloren of komt de check als knipperlicht niet goed overeen waardoor ie blokkeert. Er zijn zoveel zaken waardoor dit kan gebeuren, totdat Apple er zelf helderheid over verschaft is alles speculatie.

Het algoritme hoeft niet perse de fout in te gaan trouwens, als Apple brute-force detectie heeft en andere veiligheidschecks uitvoert (eg: opeens login van ander device in ander land) en er vindt een aanval plaats op tig Apple ID's dan kan het best zijn dat ie blokkeert. Een heel gek scenario is dat niet, immers zwerft al een tijdje die gelekte password database rond op het internet die op steeds creatievere wijze worden misbruikt. (Denk aan de mailtjes over dat je PC zogenaamd gehackt was en ze een video van je hebben gemaakt terwijl je je zat af te beren; en vermelden dan een gelekt wachtwoord erbij (en gezien veel mensen recyclen klopt dat wachtwoord vaak nog ook/is het niet uniek). Of je ff €1000 aan bitcoin wil overboeken om te voorkomen dat ze het verspreiden. Laatste telling hadden ze geloof ik tegen de miljoen aan opgehaald met die actie.) Gezien veel mensen bijvoorbeeld een gmail of hotmail adres hebben, is het niet vreemd dat ze deze ook gebruiken voor hun AppleID. Dan is het dus gewoon een kwestie van proberen...
Uiteraard zou je kunnen zeggen, "maar met two-factor authentication hoeft dat toch geen probleem te zijn?". Nee dat hoeft niet, maar het kan wel. Zéker als ze daadwerkelijk slagen om in te loggen, na foute pogingen of meerdere foute pogingen op je 2FA of meerdere logins van verschillende IP-adressen kan ik me voorstellen dat die detectie er op een gegeven moment genoeg van heeft. Je account is wel "veilig", maar alsnog moet er een nieuw wachtwoord komen. Dit zou dan louter yet another neveneffect van password recycling zijn.

Et cetera, et cetera, we zullen gewoon moeten afwachten.
Ik heb er zelf gelukkig nog geen last van gehad.
Ik denk overigens niet dat het bovenstaande het probleem is, ga uit van een storing bij Apple.

[Reactie gewijzigd door WhatsappHack op 23 juli 2024 10:11]

[SinergyX]

Nu weet ik niet hoe popups kunnen werken van apps en websites op iOS, maar zouden ze hier mogelijk tactisch gebruik van kunnen maken door zulke nep-popups erbij te gooien in de hoop dat mensen juist denken dat ze nu ook gelocked zijn?

[DigitalExorcist]

Popups in iOS krijg je niet zomaar. Ja, op websites misschien, maar op macOS ziet dat er normaliter ook anders uit meen ik.

[lepel]

Normaal gezien is het niet zo makkelijk.

Je zult een app niet in de App Store weten te zetten wanneer deze een popup als dit toont. Die wordt meteen geweigerd.

Daarnaast is het niet mogelijk om een popup als dit via de browser te tonen. Dat kan alleen via JavaScript met “alert();” en dat ziet er anders uit.

[Reactie gewijzigd door lepel op 23 juli 2024 10:11]

[Diamondo25]

Mensen kunnen makkelijk om de tuin geleid worden hoor. Gewoon het dialoog na-apen met eenzelfde lettertype en achtergrond, en je hebt ze al snel over.
Mensen trappen namelijk nogsteeds in de "je mac heeft een virus!!1!" schermen en iedereen zou ondertussen moeten weten dat dat nep is...

[ZpAz]

De enige "fool proof" check is volgens mij dat je bij een "nep alert" (of app alert) op de homeknop kan drukken, en dan is het alert weg omdat de app sluit. Bij een systeem alert blijft het alert te zien.

[Diamondo25]

Natuurlijk, als ervaren gebruikers weten we wat we moeten doen om nep van echt te onderscheiden. Maar omdat 99.99% van de gebruikers niet weten dat de grote knop een 'home' knop is, is alles wat maar een idee geeft dat het echt is, geen enkele argwaan.

[ikweethetbeter]

Mensen trappen namelijk nogsteeds in de "je mac heeft een virus!!1!" schermen en iedereen zou ondertussen moeten weten dat dat nep is...

Klopt. Mijn schoonouders hebben een MacBook Air en een iMac, en die werken beide probleemloos, maar toch krijgen ze dit soort meldingen omdat ze op links in spam / phishing mails klikken.

Ik heb ze tegenwoordig geconditioneerd dat ze bij twijfel mails negeren en dat ze mij bellen als ze twijfelen over waarschuwingen. Gelukkig wordt tegenwoordig het gros van de spam in de mail tegengehouden.

[mjz2cool]

Dat is toch gemakkelijk? Gewoon die popup namaken en verwijzen naar een website waar je je identiteit kunt "verifiëren". En het is ook gemakkelijk om te controleren of je de website bezoekt op ios of mac os.
Maar dit staat verder los van het probleem in het artikel.

[lepel]

Op iOS zul je een app er niet door krijgen in de App Store wanneer deze een popup als dit toont. Daarnaast is het niet mogelijk om een popup als dit via de browser te tonen. Dat kan alleen via JavaScript met “alert();” en dat ziet er anders uit.

Edit: Je kunt natuurlijk wel gemakkelijk met CSS nabouwen, totaal niet aan gedacht.

[Reactie gewijzigd door lepel op 23 juli 2024 10:11]

[mjz2cool]

Ik bedoel ook op een website, gewoon creatief zijn met html/css/js, en het ziet er net uit of het een echte melding is.

[Keypunchie]

Maar dan moet je maar net weten hoe de achtergrond van die telefoon er op dat moment uitzag. En zodra de gebruiker app-switcht is hij weg. Dus ja, je kunt een heel eind komen, maar exact namaken is (bewust) verdomde lastig.

Wat dat betreft is het dan ook de moeite niet waard, kun je net zo goed een gewone site maken met
""vul heir uw appple-ID in. HEt is blengrijk!!"
"NAME:"
"WACHTWORD".
Kost veel minder tijd en moeite en vangt waarschijnlijk bijna evenveel niet-oplettende gebruikers. (Ok, misschien iets beter dan bovenstaand, maar mensen trappen ook in phishing-mailtjes, he)

Vervolgens loop je wel tegen uitdaging 2 aan: gebruikers die hun two-factor aan hebben staan. Dat zijn er gelukkig best veel en ik raad iedereen aan dit te doen. Het heeft een vriend van me al een keer gered: hij had bij een andere site zelfde wachtwoord gebruikt als voor zijn AppleID. Die site is op een gegeven moment gehackt. Onverwachts kreeg hij een pop-up op zijn telefoon "Er wordt geprobeerd in te loggen op iCloud vanuit Taipei, toestaan?". Hij heeft maar snel op nee gedrukt en nadat hij samen met mij had achterhaald hoe dit kon is hij met een lichte blos op de wangen overal zijn wachtwoorden gaan vervangen.

[Reactie gewijzigd door Keypunchie op 23 juli 2024 10:11]

[DigitalExorcist]

Volgens mij staan er standaard pop-upblockers aan in iOS. MacOS weet ik niet helemaal zeker eigenlijk, maar ik zie ze nooit.. hoewel ik ook AdblockPlus in Safari gebruik.

EDIT: https://ios.gadgethacks.c...fari-your-iphone-0181968/

You might actually have this setting enabled by default. However, it's worth a check to be sure. To find the option, jump into your Settings app, then tap "Safari." Scroll down until you see "Block Pop-ups."

[Reactie gewijzigd door DigitalExorcist op 23 juli 2024 10:11]

[supersnathan94]

Een pop-up is iets anders dan een alert.

Popups zijn die vervelende tabbladen en vensters in je browser die “gratis” geopend worden door de website zonder user intention.

Javascript alerts kun je alleen blocken door javascript uit te schakelen.

[DigitalExorcist]

Die staat standaard inderdaad wel aan ja (Javascript)..

[supersnathan94]

En dus wordt een alert zoals hierboven wel degelijk getoond als je zoiets in JS nabouwd.

[mjz2cool]

Het hoeft geen popup te zijn, je kunt het gewoon namaken in html/css/js zodat popup blockers er niks mee doen.

[Ruw ER]

https://www.iculture.nl/nieuws/popups-ios-mail-app-phishing/

Beetje zoals dit toen in de mail app.

[iAR]

Vroeger kon je volgens mij een popup van Apple herkenen aan het feit dat de home knop niet werkte (je kon niet terug naar het homescreen, behalve door op cancel te drukken). Hoe dat nu is weet ik eigenlijk niet.

[Verwijderd]

Zal de AI niet goed zijn ingesteld, bijv. op verschillende apparaten ingelogd die je tijd niet meer gebruik of op andere locatie etc?

[oef!]

Ik vermoed eerder systemen die met elkaar overhoop liggen. Ik heb een soortgelijke situatie met Amazon gehad op de .com en .de pagina's, (gelijke) wachtwoorden stopten gewoon met werken na een week waardoor ik constant wachtwoord resets moest uitvoeren. Ik heb gedurende die periode geen rare activiteit op mijn account gemerkt. Vreemd genoeg bleef one stop shopping van Kindle gewoon werken, ook al kreeg ik er een bonusfoutmelding bij.

[nilsson1234]

Vorige week ook die melding gekregen, heb 2FA aanstaan.

[Sinnergy]

Was hetzelfde hier, vraag me af of het daar iets mee te maken heeft.

[supernova]

Ben dus niet de enige die dit dinsdag heeft gehad, vond het al vreemd.

[greyfox1987]

Ik heb er ook last van, op m'n iPhone en op m'n macbook pro. Echt mega irritant.. heb dus al inmiddels 3x mn wachtwoord mogen veranderen.

Overigens, ik heb hier sinds 4 weken last van, niet afgelopen dinsdag.

[Reactie gewijzigd door greyfox1987 op 23 juli 2024 10:11]

[MartijnMartijn]

Hier heb ik ook last van, sinds afgelopen maandag op dinsdag.
Het vervelende is dat ik het twee keer heb gehad, met een oude en nieuwe Apple ID. Nu blijft de oude maar staan om bijgewerkt te worden, maar omdat deze niet meer in gebruik is kom ik niet verder in het proces.
Daarnaast worden update's van App's ineens niet meer opgehaald.

[wallie-s]

Ik heb dit een week of 3 geleden ook gehad!

[air2]

Ik had dit nadat ik een week of 2 geleden ingelogd was op de icloud website toen kreeg ik dit ineens
Zonder dat ik op die site iets geks had gedaan. Of iets met ww vergeten of iets dergelijks. Nu ist weer normaal.

[BikkelZ]

Ik krijg het alleen bij Messages onder macOS. Kan wel gewoon op iCloud.com en dergelijke inloggen.

Edit: en al langer ook. Sinds vorige week of zo?

[Reactie gewijzigd door BikkelZ op 23 juli 2024 10:11]