2 Jahre auf Bewährung: iCloud-Erpresser bekennt sich schuldig

Im März 2017 schaffte es die Hackergruppe „Turkish Crime Family“ mehrfach in unsere Schlagzeilen. Die Truppe wollte nach eigenen Angaben im Besitz von über 300 Millionen iCloud-Accounts sein und hatte Apple zur Zahlung eines Lösegelds aufgefordert, um die Konten nicht zu übernehmen bzw. zurückzusetzen.

Hacker who tried to blackmail Apple by threatening to delete 319 million accounts has been sentenced following an NCA investigation.

Read more ➡️ https://t.co/PcnX2iM7Wo pic.twitter.com/wlCJMCRJJr

— National Crime Agency (NCA) (@NCA_UK) December 20, 2019

Die Erpresser wurden damals ernst genommen, da amerikanische Medienvertreter die Validität mehrerer Accounts überprüfen konnten. Unter anderem stellte die Hackergruppe dem Portal ZDNet 54 Login-Kombinationen zur Verfügung. ZDNet kontaktierte anschließend alle Account-Inhaber und bestätigte, dass man 10 positive Rückmeldungen von Anwendern erhalten hätte, die die Richtigkeit der Login-Daten verblüfft bestätigten und umgehend änderten.

Die Theorie damals: Die Account-Daten könnten von Apple selbst stammen. So fand ein Sicherheitsforscher etwa zur gleichen Zeit einen Bug auf Apples offizieller iCloud-Seite. Diese füllte die E-Mail-Adresse im Login-Formular beim Besuch automatisch mit zufälligen iCloud-Konten aus. Der Forscher schrieb daraufhin ein Python-Script, das die Apple IDs einsammelte, kontaktierte Apples Security-Team und veröffentlichte seine Erkenntnisse auf dieser GitHub-Seite.

Daraufhin wurden Spekulationen laut, dass auch die Hacker der „Turkish Crime Family“ den aufgespürten Bug in Apples Login-Formular ausnutzten, um an valide iCloud-Adresssätze zu kommen und diese anschließend mit Passwortlisten zurückliegender Account-Diebstähle (etwa bei Yahoo) abgleichen würden.

Urteil steht fest

Was genau damals vorgefallen ist, ist noch immer nicht ganz klar. Fest steht jedoch, dass die „Turkish Crime Family“ aus einem einzelnen, 22-jährgen Briten bestand.

Der Drahtzieher hinter dem $100.000-Erpressungsversuch wurde nun in London verurteilt. Darüber informiert die Britische National Crime Agency (NCAS).

So wurde der 22-jährige Angeklagte Kerem Albayrak nach einem Schuldeingeständnis nun zu einer zweijährigen Bewährungsstrafe, 300 Stunden gemeinnütziger Arbeit und einem sechsmonatigen Computer-Verbot verurteilt.

Albayrak drohte, dass er 319 Millionen iCloud-Accounts zurücksetzen und Sammlung online veröffentlichen würde, wenn seine Forderungen nicht erfüllt würden.

Am 12. März 2017 schickte er eine E-Mail an Apple Security, in der er behauptete, dass er iCloud-Accountdaten habe, die er im Namen seiner „Internet-Freunde“ online verkaufen wolle.

Eine Woche später filmte sich Albayrak beim Zugriff auf zwei scheinbar zufällige iCloud-Accounts. Er stellte das Video auf YouTube ein und schickte den Link an die Apple-Sicherheitsabteilung sowie an mehrere Medienstellen. Zwei Tage später erhöhte er seine Forderungen auf 100.000 Dollar […]

Zum Nachlesen:

• Hackergruppe will 300 Millionen iCloud-Accounts übernommen haben
• Logindaten der iCloud-Erpresser teilweise validiert
• iCloud-Erpresser: Account-Daten könnten von Apple stammen