对于苹果设备用户来说,Apple ID及其密码并不陌生,买了新设备想激活要用它,下载应用要用它,进行重要设置改动时也要用它。从最近发生的新闻看,连不法分子都开始盯上了它。Apple ID究竟有多重要,不法分子为什么会盯上它?AppleID密码被盗,后果有多严重?
西安电子科技大学网络与信息安全学院副教授、教育部信息安全团队骨干成员杨超,网络与信息安全学院副教授崔艳鹏
网友“鹨鳴”7月28日发微博称,3月15日他的iPhone6在西安和平门附近被偷。随后几个月他不断收到钓鱼邮件要套取他的Apple ID密码。7月25日晚上,他收到“你的ID密码被尝试重置,但由于尝试次数太多被冻结”的提醒后,他上了“苹果官网”去修改密码,但因“偷手机的那些人尝试修改密码次数过多被冻结”修改不了。第二天他收到提醒,密码已被重置,ID关联的邮箱也被更换。他正打电话,手机突然没声了,界面也出了问题,原来对方将他手机内容擦除并锁定了。他赶紧看家人手机,也都出现了同样的情况。而他在同一个Apple ID下共绑定了10部苹果设备。后来对方通过QQ与他联系,要价2000元给打包解锁,他不得不给对方打了钱。
8月29日华商报曾报道,8月27日晚8时许,高一女孩小童和同学在西安大明宫附近聊天,突然发现iPhone6不见了。她用同学的手机登录苹果iCloud官网,追踪丢失手机苹果怎么把id改为美国。第二天,同学打电话说收到一条短信,内有网址链接,给小童转发了过来。小童点开输入信息后,手机彻底失联。
这条短信内容为:“您开启丢失模式的iPhone设备在苹果授权门店No.0326服务点申请刷机激活服务,如非您本人,请登录拦截……”,短信里有一个网址链接。
小童妈妈赵女士致电苹果客服苹果外区id登录icloud,客服人员说他们是不会发短信向客户索要个人信息的,并认定赵女士收到的网址链接为钓鱼网站,Apple ID已被套走。8月27日晚,赵女士向公安新城分局自强路派出所报案。
从新闻报道来看,当事人ID密码泄漏多是因为上了“钓鱼”网站的当,在仿冒的“苹果官方”网页填写了自己的ID密码被套走。所以实验模拟的情景是,市民沈女士iPhone5的Apple ID及密码已被扮作“黑客”的记者成功“套取”,“黑客”通过网络对该手机进行操作。
实验开始,“黑客”在电脑上打开苹果官方iCloud登录页面,然后输入已知的沈女士的Apple ID及密码。成功登录后,便看到了12个APP图标,分别为:邮件、通讯录、日历、照片、iCloud Drive、备忘录、提醒事项、Pages、Num-bers、Keynote、查找我的iPhone、设置。在浏览器右上角还能看到沈女士的全名。
这12个APP均可点开。点开“邮件”APP后,已发送邮件可点开查看,“通讯录”中所有联系人的姓名电话历历在目,“备忘录”里记录的文字不仅能看而且能改能新建,“提醒事项”里已计划的“照相”事项显示为“已完成”,“照片”打开后可以看到照片流里的照片。点击“查找我的iPhone”后,可以查看到机主正位于城南一家小区附近,其他的APP也都可点开。
这样的体验,简直和看自己的手机一样方便,仅仅掌握了一个ID密码,就可以这么轻松地获取如此多的个人信息,ID密码一旦被不法分子掌握后会怎样?简直不敢想象。
这是不是因为机主登录了iCloud的原因?如果从iCloud注销会怎样?
记者拿出自己的 iPhone 手机,并从iCloud注销,然后在电脑上登录自己的Apple ID,看到的情形却依然和沈女士手机一样。12个APP依然历历在目,邮件里的已发送邮件、通讯录里的姓名和电话号码、备忘录里的记事等全都可以查看。看来如果被人窃取了ID账号和密码,即便发觉后从iCloud注销,以前在云端备份的信息也照样可能被窃取。
怎么办?看来只能在电脑端动手删了!但是删掉了网络上的信息,服务器上的信息能同步删除吗?
西安电子科技大学副教授崔艳鹏:Apple ID已成为用户通往苹果整个云服务体系的必经也是唯一通道,通过Apple ID账号和密码,可以接触到所有存储在苹果iCloud云端服务的数据,例如,邮件、通讯录、备忘录、照片流等。若Apple ID被不法分子窃取,他们可以轻松地通过电子邮件、iMessage短信以及云端备份来获取App数据、App设置、系统设置(不包括独立服务密码或是第三方应用密码)以及备份在云端的照片、视频、短信、邮件等。即便从iCloud将设备“注销”,其实也只是退出,并非将账号彻底删除,隐私数据还依然保存在云端。
为此,华商报记者继续扮作“黑客”,对沈女士的Apple ID账户进行操作。点击发现,12个APP每个都可以操作:邮件可以新建、发送、删除。通信录可以导入、导出、删除、打印。打开“查找我的iPhone”可以让沈女士的手机播放铃声,并可将其设为“丢失状态”,操作非常顺利。撤销“丢失模式”后,沈女士的手机被设了密码,需要输入记者设定“丢失状态”时输入的密码才能开机。对“设置”APP进行操作,甚至可以对沈女士的Apple ID进行管理和修改。
从新闻报道来看,ID密码被“钓”有两种情况:一种是手机丢失后,机主启用了“查找我的iPhone”将手机设为丢失模式,拿到手机的人要想使用这台手机,必须要解锁后才能打开手机,而要想抹掉设备上的数据改用新ID激活,就必须要知道原ID账号及密码。这样做的目的,是为了破解设备。
另一种是手机虽然在机主手里,但Apple ID却被人“钓”走了,不法分子通过在苹果官方iCloud网页登录后,利用“查找我的iPhone”和“钓”来的ID和密码,将开着“查找我的iPhone”的设备锁定,使机主用不成手机借此敲诈钱财。
这两种情况都和“查找我的iPhone”有关。第一种情形,一旦机主的ID密码被套,不法分子迅速进行账号设置,设备从此就和机主没有关联了,想要找回设备难上加难;第二种情形下媒体报道的事件多是为了诈财。
但其实,Apple ID被窃取的潜在危害不仅只是财产损失。由于APP上传在云端的隐私数据各种各样,遇到别有用心的不法分子窃取这些私密信息进行恶意利用,加之机主的具体地址、作息习惯等隐私信息可能被不法分子实时监控,带来潜在的威胁不言而喻。如果“这扇门”被打开时,机主毫无察觉,这又该多么可怕?不过沈女士说,好在“黑客”登录进行操作时,她的邮箱会收到提醒。
崔艳鹏:Apple ID被窃取,不法分子可以使用“查找我的……”服务来远程擦除Apple ID关联的iPhone手机或者iPad平板电脑。虽然该服务可以在苹果设备丢失时帮助机主进行追踪定位,为寻找设备提供线索,但Apple ID密码一旦泄露,反而有可能被不法分子利用,来远程擦除设备,成为对机主进行敲诈和操控的工具。而通过Apple ID在iCloud窃取的App数据、App设置、系统设置、照片、视频、短信、电子邮件、通讯录等则有可能被不法分子贩卖给不同的人,他们甚至可能通过通讯录等信息,对机主的亲人朋友行骗。
苹果公司IOS部门一线技术顾问王女士表示,首先要及时通过邮箱验证或密保问题验证等方式重置ID密码,以保护自己账户的数据安全。密码重置成功后,建议先关掉“查找我的iPhone”,这样即便ID还被不法分子盯着,由于没启用“查找我的iPhone”,对方就是再次盗取了ID密码也无法锁机。
若遭窃的Apple ID密码重置成功后,原来的账户还要继续使用,建议同时把主邮箱也更改一下。改变主邮箱后,虽然Apple ID看似变化了,其实用的还是原来的账号。
为提高安全性,还可以开启“两步验证”,开通以后在需要输入ID账号密码时,系统会给手机发送验证码。开启两步验证后,遭破解的可能性很小。但如果所处环境通信信号不好的话,可能会给使用带来一些不方便。另外,两步式验证的14位安全密钥如果遗忘,是无法找回来的,一定要牢记。
还可以创建一个新ID,不过这样一来旧ID下载的应用可能就没法用了。有的人旧手机丢了,买了新手机还用老账号,这样也会存在一定隐患,建议最好更改为新ID和密码。
有时,不法分子甚至把与Apple ID关联的主邮箱的密码也窃取了,甚至连找回密码的密保问题也做了更改,这样的话就没有办法再找回了。
按照苹果公司技术顾问的介绍,华商报记者尝试进行“两步验证”设置,发现初次设置后需要再等三天进行第二次设置。
去年就曾发生过好莱坞影星艳照门事件,苹果公司有没有采取相应技术措施加以应对?
对于这个问题,苹果公司IOS部门一线技术顾问王女士表示,当用户使用苹果设备和云技术给生活带来便利时,苹果公司其实已将个人账户的权限和责任下放到客户手中了。密保技术也在发展,但技术开发需要时间。Apple官方对密码设置的要求很严格,比如不能重复、区分大小写等,去年年底还推出了“两步式验证”。另外,系统对于个人账户的管理设置有参数,若发现异常就会立即停用账号。
根据媒体报道的事例,一些失窃的苹果设备被人采取技术手段刷机重新使用。王女士表示,虽然刷机很简单,但刷完机还是需要激活的,不能激活是不能用的。苹果官方售后有自己的工作原则,比如发现送来的设备若被机主开启了“丢失模式”,官方售后是绝对不会接手的。至于个别机主提出来的“能否帮助机主暂时扣押设备”的问题,苹果公司毕竟不是执法部门。
西安电子科技大学杨超副教授提醒苹果手机用户,苹果设备的使用体验好,是由于它是建立在云技术基础上的。正因为这个原因,设备里的通讯录、照片、备忘录、邮件以及应用数据、个人信息等可以被及时同步。但个人信息和隐私数据一旦被传上云端,保密性就会大打折扣。互联网上没有删除键,数据一旦上传,备份的数量不是机主能完全掌握的。而这些保存在云端的数据,安全性就依赖于一个ID账号和密码。若ID密码被窃取,在网络平台上看的就直接是明文数据。所以使用苹果设备一定要有个人隐私保护意识和信息保护意识,不要在云端备份诸如信用卡号、重要密码、重要工作信息、与联系人的关系、私照等内容。
如果机主的是工作性质需要保密,或个人事务极其重要,尽量不要打开iCloud。对于存在云端的数据,有必要及时进行整理删除。另外,使用“查找我的iPhone”时,也要防止被人反制。
杨超副教授表示,有的用户账号容易被盗,可能还是跟个人使用习惯有关系。她提醒用户,密码设置要有技巧,比如可以大小写、字母数字混合、注意长度,并定期进行更换。要防止使用弱密码,比如生日密码、常用短句、规律数字等。另外,要及时升级手机系统,不要越狱,越狱后设备更容易遭攻击。不要轻信各种带有网址链接的提醒。Apple ID密码被窃,通常都是被不法分子通过钓鱼网站、钓鱼邮件、钓鱼短信、钓鱼电话套取到的。所以苹果设备手机丢失后,不要轻信各种看起来非常切合情境的短信、邮件等形式的提醒,尤其不要点击来自各种途径的不清楚的链接。