Il n'est pas compliqué de pirater un compte iCloud
Suite aux récentes affaires de récupération de photos de célébrités, une journaliste de Mashable, Christina Warren, a décidé de s'essayer au piratage d'un compte iCloud.
Elle s'est donc documentée sur tout ce qui existait et s'est intéressée au logiciel Elcomsoft Phone Password Breaker. Il en existe plusieurs versions plus ou moins évoluées et elle a choisi d'acquérir une version à 200$ fonctionnant sous Windows.
Pour que ce logiciel puisse agir il faut avoir l'identifiant et le mot de passe iCloud. Elle a donc cherché des moyens de les obtenir. Pour commencer, il faut trouver un identifiant valable. Pour ça, la solution la plus simple est de tenter de créer un nouveau compte. S'il existe la requête sera refusée. On peut donc ainsi avoir la certitude qu'il est valide.
Ensuite, pour trouver le mot de passe elle a utilisé ce que l'on appelle l'ingéniérie sociale. Grâce à tout ce que les internautes postent sans forcément s'en préoccuper sur les réseaux sociaux il est assez simple de retrouver des réponses aux questions de sécurité, date de naissance, et autres informations. Elle a donc fini dans son test par réussir à faire générer un nouveau mot de passe.
Ensuite, il suffit de les rentrer dans le logiciel et il permettra, en contournant le système de double authentification, de récupérer dans les sauvegardes stockées sur le nuage d'Apple tout ce que l'on veut, soit une sauvegarde totale d'un iPhone soit seulement photos et vidéos par exemple.
Elle note pour finir qu'il existe une version encore plus puissante du logiciel en question, facturée 400$. Elle permet à distance par le réseau (local) ou en ayant un accès physique à un ordinateur de récupérer le jeton de transaction entre la machine et iCloud. Si une personne se connecte, ce jeton sera récupéré, et utilisé sans avoir à connaître l'identifiant et le mot de passe pour récupérer les données.
En bref, il y a encore énormément de travail à faire pour qu'iCloud et plus généralement tous les services de Cloud soient réellement sécurisés, en tout cas assez pour que n'importe qui, doté des bons outils en vente libre ne puisse aller se servir dans les données personnelles des autres.