L’affaire des photos volées a débuté dimanche soir et elle continue. Pour rappel, plusieurs photos de célébrités nues ont été publiées sur Internet suite à un piratage. Beaucoup ont estimé qu’iCloud avait été piraté, Apple a depuis confirmé que ce n’était pas le cas. La firme évoque plutôt des attaques ciblées qui sont assez classiques sur Internet (lire : Stars nues : Apple confirme qu’iCloud n’a pas été piraté). Mais au final, comment les hackeurs ont-ils pu obtenir les photos ?

iCloud Localiser mon iPhone Hack Brute Fort

Le script iBrute pour tenter de deviner le mot de passe

Wired s’est posé la question puisqu’Apple n’a pas réellement donné d’éléments de réponse. Il s’avère que plusieurs hackeurs discutent librement de ce piratage sur Anon-IB, un service d’images en ligne qui se veut anonyme. Si l’on s’en tient aux differents témoignages, les hackeurs sont passés par l’outil ElcomSoft Phone Password Breaker, normalement destiné aux forces de l’ordre. Il permet d’accéder à des sauvegardes protégées par un mot de passe. Le hackeur peut alors entrer l’identifiant et le mot de passe trouvés pour avoir un accès complet aux sauvegardes iCloud.

« Utilise le script pour avoir son mot de passe… utilise EPPB pour télécharger sa sauvegarde », écrit un hackeur. Le script en question est iBrute, il ne peut plus être utilisé à ce jour, Apple l’a bloqué. Il exploitait une faille dans Localiser mon iPhone pour deviner le mot de passe d’un compte Apple. Le hackeur pouvait tenter de le deviner autant de fois que nécessaire puisqu’Apple ne bloquait pas le compte, même après plusieurs tentatives infructueuses.

Il y a donc de fortes probabilités pour que les hackeurs soient passés par cette technique pour voler ces photos. Qui plus est, il est possible d’accéder aux sauvegardes iCloud même si l’utilisateur a activé la vérification en deux étapes puisque les sauvegardes iCloud et le flux de photos ne sont pas pris en compte par la sécurité supplémentaire.

Espérons qu’Apple fasse le nécessaire pour boucher toujours plus de failles et éviter qu’un scénario similaire se reproduise à l’avenir.