Apple-Erpressung: Manche iCloud-Zugangsdaten sind gültig, viele inaktiv, Daten recht alt

Die „Turkish Crime Family“ will Apple erpressen. Sie behauptet von sich, mittlerweile 600 Millionen iCloud-Zugangsdaten gesammelt zu haben und iPhones löschen zu wollen, wenn Apple nicht 150.000 Dollar in Bitcoins bis 7. April zahlt. Aber was sind diese Daten überhaupt wert?

iCloud-Zugangsdaten sind schon recht alt

Einer Hacker-Gruppe, die sich „Turkish Crime Family“ nennt, hat angedroht, iPhones zu löschen. Dafür sollen iCloud-Zugangsdaten genutzt werden, derer die Angreifer mittlerweile 600 Millionen Stück haben wollen. Apple hat angemerkt, dass es keine Hinweise auf einen Einbruch in das System der iCloud gibt. ZDNet wollte es nun genauer wissen und hat das Ganze untersucht.

Die Hacker haben ZDNet eine Liste von 54 Beispiel-Accounts gegeben, die tatsächlich mit einem gültigen Passwort versehen waren. Die Liste der Zugangsdaten besteht aus der E-Mail-Adresse und dem Passwort, getrennt von einem Doppelpunkt. Das spricht laut Troy Hunt von „Have I Been Pwned“ dafür, dass die Daten aus verschiedenen Quellen kommen.

Was die Zugangsdaten anging, hat ZDNet festgestellt, dass viele von ihnen zu Accounts gehören, die mittlerweile nicht mehr genutzt werden. Auf das Thema via iMessage angesprochen, erläuterten einige Besitzer, dass das Passwort zum Teil noch nie geändert wurde, oftmals auch auf anderen Seiten verwendet wurde. Ein Nutzer gab an, dass das Passwort vor zwei Jahren mal gestimmt hatte, danach habe er es geändert. Das könnte darauf hindeuten, dass der Datenbestand zwischen 2011 und 2015 entstanden ist. Drei Nutzer gaben übrigens an, dass das iCloud-Passwort bei Apple alleinig genutzt wurde und nicht noch bei anderen Diensten. Das könnte auf einen Einbruch in der Vergangenheit oder auf einen erfolgreichen Phishing-Angriff hindeuten.

Vorsicht ist die Mutter der Porzellankiste

Wer Bedenken um seine Sicherheit hat, sollte das iCloud-Passwort ändern, sofern das noch nie geschehen ist oder schon sehr lange her ist. Außerdem ist es keine schlechte Idee, die Zwei-Faktor-Authentifizierung einzuschalten. Mit ihr können sich Fremde selbst dann nicht in den Account einloggen, wenn sie die Zugangsdaten haben, weil das System mit einer SMS oder einem an ein „vertrautes Gerät“ gesendeten Code untersucht, ob man auch wirklich selbst den Login initiiert hat.