FBI: uitgelekte gegevens van iOS-gebruikers kwamen niet van ons

De FBI ontkent dat de uitgelekte privégegevens van 12 miljoen iOS-gebruikers, waarvan een deel deze week online kwam, afkomstig zijn van een gekraakte FBI-laptop. Volgens het bureau heeft het die gegevens nooit in zijn bezit gehad.

Daarmee spreekt de FBI hackerscollectief Antisec tegen. Antisec plaatste eerder deze week een miljoen udids en apparaatnamen van iOS-gebruikers op Pastebin. Het collectief claimt dat het gegevens van in totaal twaalf miljoen iOS-gebruikers in handen heeft gekregen en dat deze afkomstig zijn van een laptop die aan een FBI-medewerker toebehoort. Volgens Antisec is de desbetreffende medewerker in maart van dit jaar door een Java-kwetsbaarheid getroffen, waardoor de gegevens bemachtigd konden worden.

Volgens de FBI is daar niets van waar; de instantie zegt in een verklaring dat het die gegevens nooit in zijn bezit gehad heeft en dat er geen bewijs is dat er ingebroken is op een laptop. In een tweet werd het nog stelliger geformuleerd: "We hebben de informatie waarover gesproken wordt nooit in bezit gehad. Conclusie: TOTAAL ONWAAR."

De FBI weidde in zijn verklaring niet uit over de vraag of de gegevens eventueel in bezit zijn geweest van de NCFTA, een instantie die samenwerkt met zowel de overheid als de private sector op het gebied van cybercrime. Het vermoeden daarvoor bestaat, omdat de afkorting NCFTA volgens Antisec voorkwam in de bestandsnaam van het csv-bestand dat de gebruikersgegevens bevatte.

Uit een analyse van Tweakers.net blijkt dat tussen de gepubliceerde gegevens de udids van ruim 10.000 Nederlandstaligen zitten. Daarbij gaat het om apparaten waarbij de apparaatnaam wordt gevolgd door het Nederlandse woord 'van'; het is dus goed mogelijk dat er nog meer Nederlandse udids tussenstaan, van apparaatnamen met een andere structuur.

Reacties (57)

[the_shadow]

Ah, het welbekende welles-nietes spelletje. Voor beide partijen is er redelijk wat op het spel. De FBI wil natuurlijk nooit naar buiten laten komen dat 1 van hun systemen eventueel onveilig zou kunnen zijn, Antisec heeft er alle belang bij om de wereld te laten weten dat zij de FBI te slim af zijn geweest. Het NCFTA zal vervolgens weer terug wijzen naar de FBI.

De vraag hierbij is mijns inziens niet wie de oorzaak is, maar hoe dit in de toekomst voorkomen kan worden. Met andere woorden, kunnen we niet van UIDs af en gebruiken we een andere manier om apparaten te identificeren.

[killercow]

Of, misschien moet een externe overheids organisatie die onderzoek doet naar criminelen en criminele organisaties niet zon verzamelwoede hebben.

De drang om alles en iedereen (inc blijkbaar ~10000 niet criminele buitenlanders) te willen volgen is het probleem hier, de UID's niet meer dan een stukje gereedschap.

Dat er computers gekraakt worden, achter gelaten worden, of dat iemand per ongeluk de verkeerde files mailt of doelbewust lekt, daar moeten we gewoon bij het verzamelen van data vanaf het begin rekening mee houden. Wil je niet dat dat ooit gebeuren kan, verzamel de gegevens dan niet. Zeker niet als je volgens de wet helemaal geen gegevens mag verzamelen over die mensen. Ze hebben immers niks misdaan. Voor de enkeling die wel iets misdaan heeft start je dan maar een doelgericht onderzoek op.

[Noeandee]

Apple is al actief bezig om software, die UDID informatie opvraagt te weigeren. Dit is 6 maand terug al aangekondigd. Overigens zijn de UDID's op zich niet heel erg interessant, behalve als je ze kunt koppelen aan persoonlijke informatie. Hetzelfde zou gebeuren als je bijvoorbeeld een database van MAC-adressen zou gaan opbouwen en die zou gaan koppelen aan persoonsgegevens. Zo kan je bijvoorbeeld je iphone/ipad niet inruilen, bij een defect, als je ipad/iphone niet is geregistreert via iTunes.

Bron: http://techcrunch.com/2012/03/24/apple-udids/

[the-dark-force]

je weet dat google ook je udid/imei adressen e.d. op moet slaan ?
dus dat betekend een keer met je telefoon online en je udid/imei is aan je naam,adres zoektermen, mac adressen van gebruikte systemen in het verleden, useraccounts en alle google analytics/adsense websites waar je bent geweest sinds het begin der tijden.

dit is gewoon allemaal zichtbaar voor de federal bureau of idiots en andere geintresseerden.
dus udid's kunnen wel heel intressant zijn, dat jij er de waarde niet van inziet zegt weinig.
mac adres is gewoon een andere naam voor hetzelfde probleem.

[Ypho]

FBI of niet, als je wilt controleren of je erbij staat, kun je deze link gebruiken.

[woldhek]

Ik ben altijd voorzichtig met dit soort dingen.
Dat kan ook een manier zijn om udid`s te verzamelen....

[TheBigB86]

Denk niet dat dit het geval is. Er wordt expliciet bij gezegd dat je ook alleen een gedeelte van je udid kunt gebruiken.

[biglia]

Ze zullen toch nog wel meer gegevens gevonden hebben op die laptop? Dat ze die dan eens publiceren zodat we kunnen uitmaken of het wel degelijk gaat om een laptop van een FBI medewerker. Thx!

[Verwijderd]

Waarom hadden ze dat al niet meteen gedaan. Het was toch al meteen duidelijk dat deze informatie eerder van een apps developer leek te zijn dan van de FBI.

[gjmi]

Was het wel/niet een laptop van een FBI medewerker?
Was het FBI werk of persoonlijk hackwerk van de eigenaar van de laptop?

Er zullen nu jammer genoeg wel weer mensen zijn die nu helemaal los gaan op FBI en Apple zonder dat er enig bewijs is hoe het nu echt in elkaar steekt.

Je kunt volgens mij redelijk makkelijk een iOS (of Android) programmaatje maken om daarmee informatie van de gebruiker los te krijgen. Als je eens wist hoe makkelijk mensen data invullen in programma's.

Denk bijvoorbeeld aan alternatieve mail/facebook programma's en dergelijke.
Je vult daar wel je wachtwoord in terwijl je niet weet wat de maker van het programma daar mee doet...

[Verwijderd]

ware het niet dat Apple niet zomaar apps toelaat waarbij je een apart account moet maken.

[n4m3l355]

Dit is ook het lastige aan het hele verhaal.
Twee partijen die beiden niet echt makkelijk te vertrouwen zijn en beiden niet echt overtuigbaar bewijs kunnen aanleveren wie het nou daadwerkelijk is. Het enge aan dit hele verhaal is behalve dat dit gebeurd, wie kan het anders zijn? Wie verzameld zoveel gegevens en hoe komen ze hieraan? Misschien dat het inderdaad niet via een aparte account is zoals je zelf aangeeft. Misschien heeft iemand een server gehacked van Apple of een telco. Of misschien is deze data wel van de Russische hacker enige tijd terug die apps gratis liet installeren. Deze data kan van zoveel partijen komen terwijl dit eigenlijk uberhaubt niet had mogen gebeuren. Vervelend genoeg staat Apple hier niet alleen in ook Android verzameld veel informatie terwijl je je moet afvragen waar is dit uberhaubt voor nodig?

[curumir]

Er zijn een heleboel app-developers die de data hebben kunnen verzamelen. Het relatief lage aantal geeft eigenlijk al aan dat het hoogstwaarschijnlijk niet van Apple zelf komt; die hebben een veel grotere database aan gegevens, het totaal aantal iPhones dat is verkocht.

Een opmerking van Anonymous gaat ook die richting uit:
http://twitter.com/anonymousirc/status/243111966502178817

People whose UDID was on the list released by AntiSec might want to compare their installed apps. A common culprit might be found.

[watercoolertje]

Misschien niet zomaar maar er zijn er genoeg...

Skydrive, g-drive, dropbox, (g)mail clients en ga zo maar door...

[Verwijderd]

Ik heb bijna meer apps waarbij dat wel gedaan wordt dan waar niet (Facebook, linkedin, dropbox, spotify etc, etc.)

[ManiacsHouse]

Tsja dan zal men met bewijs moeten komen dat het wel in bezit van de FBI was. Of men probeert Antisec uit de tent te lokken

[DRaakje]

Tja de MP3 waarbij ze meeluisterden met een conference call, geeft in ieder geval al aan dat ze toegang hadden to een mail adres. Vanuit dat punt is het natuurlijk makkelijk om een phishing mailtje naar iedereen in die lijst te sturen. Er hoeft er maar 1 te zijn met een de vulnerability, en je hebt al toegang.

Dus in dit welles nietes spel, heb ik toch de neiging antisec te geloven.

Conference Call
http://www.youtube.com/watch?v=McoP4jDuv5Y

Er is ook al een blog post over van Errata Security
http://erratasec.blogspot...been-owned-12m-apple.html

Ze beweren nog 3 TB aan data te hebben:
https://twitter.com/AnonymousIRC/status/243095317644451840

[Reactie gewijzigd door DRaakje op 24 juli 2024 22:34]

[ToolkiT]

die conference call is met een engelse agency (luister maar naar de accenten en ze hebben het over een trip naar Sheffield).
Dus niet echt bewijs dat er perse iets bij FBI gehackt zou zijn..

[eM.]

Ik ben wel benieuwd naar welke apps deze gebruikers gemeen hebben. Maar ik vermoed dat Apple hier ook al mee bezig is.

[Maxxi]

Waarom kunnen deze gegevens niet van een iOS app ontwikkelaar zijn?
Het zijn alleen de ID's, de rest is "verwijderd".

En het zijn er een miljoen. Een populaire app kan dit wel verzameld hebben.

[Cthulhu]

Natuurlijk gaan ze dat ontkennen, heeft nog lang geduurd

[Jebbel]

Mocht dit verhaal wel waar zijn; Wat doet de FBI uberhaupt met deze gegevens?

[rob12424]

Jep Dit bericht is ook echt geloofwaardig:

Het is van een veld agent.
De FBI onderzoekt deze dingen bijna nooit zelf (doet department of homeland security voor ze of NSA --> FBI ( te weinig expertise op dit gebied)
Dan zul je laptops om moeten switcheten met al je veldagenten (aangezien je niet weet welke er gehacked is --> dat geven ze zelf al aan) VPN tunnel is onveilig want target is al besmet. (en duurt alsnog lang)
Dan moet je ze nog allemaal checken.

En dat binnen een weekje!? (zelfs de Mossad en AIVD werken niet zo snel)

Daarnaast Obama heeft een hele zooi bedrijfjes van de cia opgedoekt omdat ze van de meer dan 97 bedrijven meer dan de helft niet wisten wat deze daadwerkelijk deden. (ze wisten in grote lijnen soms niet eens wat die gasten uitvoerden.

Denk je nauw echt dat ze werkelijk weten wat elke veldagent precies doet in dit korte tijdsbestek? (ze weten waarschijnlijk die schaduwd die groep, wat hij daar voor gebruikt zal hun echt een worst wezen, zolang niemand het ziet of te zien krijgt! )

[Reactie gewijzigd door rob12424 op 24 juli 2024 22:34]