Хакеры похитили данные 12 млн владельцев iOS-устройств, миллион UDID уже в сети

5 сентября, 2012

Группа хакеров Antisec опубликовала в сети данные 1 000 001 iOS-пользователей, связанные со схемой идентификации Apple с помощью UDID. Эти данные, если у вас есть доступ к ресурсам Apple для разработчиков, дают возможность определить географическое положение и получить другую специфическую информацию о пользователях. Данные даже содержат имена устройств (например, один из UDID ссылается на девайс с именем «hobamain» и появляется в результатах поиска по запросу «Obama»).

Появившиеся в сети данные, судя по всему, взяты из 12 млн UDID, похищеных со взломанного ноутбука Dell, принадлежащего, как предполагается, старшему специальному агенту ФБР Кристоферу К. Стэнглу (Christopher K. Stangl), которого можно увидеть в этом ролике, призывающем пользователей внимательно относится к компьютерной безопасности.

Хакреы Antisec заявили: «Файлы были загружены из его папки на рабочем столе, один из файлов назывался “NCFTA_iOS_devices_intel.csv” и содержал список 12 367 232 iOS-устройств, включая Unique Device Identifiers (UDID – уникальный идентификатор устройства), имена пользователей, тип устройства, токены Apple Push Notification Service, почтовые индексы, номера сотовых телефонов, адреса и так далее. […]” Проверить свой UDID можно по этой ссылке. Хакеры сообщают, что из опубликованного файла, который можно скачать с зеркалов Antisec (найти ссылки на сам файл можно здесь), удалены все идентификационные данные – ФИО, сотовые номера, адреса, почтовые коды и прочее. В общем, так и есть - файл содержит только UDID, ID сервиса push-уведомлений и имя устройства. Используя поиск по социальным сетям, с помощью этих данных можно найти конкретных людей, однако такой файл для прямой идентификации человека использоваться не может.

Опубликованные данные не обязательно украдены у Apple или с некоего компьютера некоего специального агента ФБР. Все эти данные регулярно появляются в базах данных разработчиков iOS-приложений и используются для доставки push-уведомлений. Таким образом, можно предположить, что данные являются базой какого-то iOS-приложения с большим количеством пользователей – под подозрение попадает любое приложение с количеством пользователей более 12 млн.

Данные являются списком клиентов и могут содержать информацию, появление которой в открытом доступе может нанести ущерб этим клиентам. То, что такие данные хранились на каком-то жестком диске в незашифрованном виде похоже на шутку. Если все-таки файл был похищен с компьютера ФБР, как утверждают хакеры, то это грубое нарушение закона.

Чем грозит такая утечка данных? Программист и эксперт по кибер-безопасности Альдо Кортези пишет: «Я посмотрел все социальные игровые сети для iOS, в основном OpenFeint и его конкурентов – и обнаружил катастрофически плохой менеджмент данных практически в каждой. Уязвимости позволяют деанонимизировать пользователя, завладеть его аккаунтом в социальной игровой сети, и даже украсть его аккаунт в Facebook и Twitter, используя только UDID».

Другие новости по теме: