Un groupe de cinq hackers, composé de Sam Curry, Brett Buerhaus, Ben Sadeghipour, Samuel Erb et Tanner Barnes, dit avoir trouvé 55 failles de sécurité dans les systèmes d’Apple. Cela leur a pris trois mois. Le fabricant leur a versé 51 500 dollars pour leurs découvertes.

Les 55 failles ne concernent pas l’iPhone, le Mac ou un autre produit. Elles étaient situées au sein même de l’infrastructure d’Apple. Elles auraient pu être exploitées pour compromettre totalement les applications des clients et des employés, lancer un ver capable de prendre automatiquement le contrôle du compte iCloud d’une victime, récupérer le code source de projets internes d’Apple, compromettre totalement un logiciel d’entrepôt de contrôle industriel utilisé par Apple et prendre le contrôle des sessions des employés d’Apple ayant la capacité d’accéder aux outils de gestion et aux ressources sensibles.

Les hackers ont contacté Apple pour chacune des failles. Le fabricant a corrigé certaines d’entre elles en quelques heures à peine. Le fabricant a eu besoin d’un peu plus de temps pour en boucher d’autres, au vu de la complexité.

Les hackers ont profité du programme Security Bounty d’Apple. Celui-ci permet de recevoir de l’argent pour la découverte de failles de sécurité. Les hackers ont reçu 51 500 dollars sous forme de quatre paiements :

  • 5 000 dollars pour la divulgation du nom complet des utilisateurs d’iCloud
  • 6 000 dollars pour la découverte de failles IDOR
  • 6 500 dollars pour un accès à l’environnement interne de l’entreprise
  • 34 000 dollars pour la découverte de fuites de mémoire système contenant des données de clients