La semana pasada salto a los titulares la noticia de que Apple se encontraba bajo un caso de extorsión por parte de hackers que amenazan con borrar de forma remota, los iPhones de varios usuarios gracias al acceso a las credenciales de iCloud que tienen en sus manos. Rápidamente, Apple salió a decir que si infraestructura no había sido vulnerada y que ellos no negocian con criminales. Pues bien, el problema parece ser que en efecto los hackers tienen en su posesión un numero cuantioso de cuentas activas de iCloud y el riesgo de que cumplan con su promesa de borrar varios iPhones de forma remota es real.
Aclaramos eso si, que ha sido confirmado por Motherboard y ZDNet, incluso por los propios hackers, que Apple no ha sido vulnerado. Las cuentas iCloud y Apple ID que fueron a parar a manos del Turkish Crime Family pertenecen a los hackeos perpetrados en 2012 a sitios como LinkedIn y Last.fm.
Quienes han tenido acceso a muestras de las bases han realizado varios análisis y por ejemplo, de una muestra de 100 cuentas al azar, sólo 20 personas respondieron y 12 de ellas confirmaron que las contraseñas eran correctas. Troy Hunt, creador del sitio ‘Have I Been Pwned‘, ha comparado la muestra proporcionada a ZDNet y ha corroborado que el 99.9% de las cuentas pertenecen a viejas brechas.
Así pues, la amenaza de que estos hackers borren una cantidad importante iPhones de forma remota a través de la función ‘Buscar mi Phone’ es real. El Turkish Crime Family exige a los de Apple un rescate por el monto de $75,000 en Bitcoins o Ethereum (ambas criptomonedas) o $100,000 en tarjetas de regalo de iTunes antes del 7 de abril próximo. Pero como ya hemos dicho, la postura de Apple es no negociar con criminales.
Ahora bien, hay que dejar claro que no todos los usuarios de Apple están bajo el riesgo de que sus cuentas estén vulneradas, no por ello hay que pecar por descuidados. Siendo prudentes, lo mejor sería cambiar la contraseña de tu cuenta de iCloud / Apple ID si no los hecho en los últimos 4 meses. Adicionalmente, puedes activar la autenticación en dos pasos para reforzar tu seguridad. Usar una contraseña distinta para cada servicio es también a tomar en cuenta, y por supuesto usar una contraseña fuerte, y porque no, generada por un gestor de contraseñas (1Password, Dashlane, LastPass).
Si estas anuente ante la situación, sólo es cuestión de esperar al 7 de abril, al final los hackers dicen que solo tienen en posesión 250 millones de cuentas.