Hacked iPhone

Krass sowas habe ich ja noch nie gesehen...

Dachte auch eigentlich immer, dass sowas bei Apple nicht geht.

Geht eigentlich auch nicht.... ich empfehle dringend die zweistufige Authentifizierung für die Apple ID - denn daran hängt echt viel....

Auf die Gefahr hin, dass ich belehrt werde, es sei vieles einfacher im Apple Ökosystem: Wer eine Zwei-Faktor Authentifizierung nützt, der sollte sich darüber Gedanken machen, wie er im Verlustfall des "zweiten" Faktors vorzugehen hat.

Meine Erfahrung (im Non-Apple Ökosystem), nachdem mein Handy - auf welchem die Token-Generator App für Zweifaktor-Authentifizierung drauf war - geklaut wurde, ist durchzogen: Um auf dem Ersatzhandy einen neuen Token-Generator zu Autorisieren/Synchronisieren, reichte bei Google und GitHub eine (ursprünglich auf Papier gedruckte) Notfall-Tokenliste. Bei Amazon AWS musste ich via Supportmitarbeiterin, welche aus den USA einen Kontrollanruf auf meine registrierte Festnetznummer machte, den neuen Token freischalten lassen (well: sie haben einfach die Zweifaktor-Authentifizierung abgeschaltet, danach konnte ich diese wieder aktivieren - mit dem neuen Token). War umständlich, aber im Endeffekt relativ schnell. Microsoft Azure war ein anderes Thema. Mehrere Mails und nur die Androhung, die Azure-Rechnung nicht zu bezahlen, bis ich wieder Zugriff hätte, half einigermassen, dass ich meinen "neuen" Token synchronisiert bekam. 

Wie gesagt: Mir geht es nur darum, dass ihr - wenn Ihr die Zwei-Faktor Authentifizierung benützt, Euch Gedanken darüber macht, wenn Euer zweiter Faktor mal abhanden kommt. Wie kommt ihr wieder an Euer Account... Das muss eine Grundüberlegung sein.

Zwei-Faktor Authentifizierung ohne Backup Codes (gibt es bei Facebook, Apple, Google, Twitter etc) ist schon fast fahrlässig!

Bei Apple bekommst du die Codes ja auf alle deine "vertrauenswürdigen" Geräte. D.h. wenn ein Gerät abhanden kommt, dann erhältst du den Code auf anderen Wegen. Kann auch an eine beliebige Tel.Nr. gehen. 

Auf der anderen Seite ist das auch wieder ein Risiko. Man sollte also z.B. im Urlaub oder unterwegs besser nicht sein iPhone und sein iPad zusammen am gleichen Ort aufbewahren...

Die Methode scheint in Mode zu kommen:

Berichte über neue Erpressungswelle mit iPhone-Fernsperre

Es scheint wieder eine neue Erpressungswelle anzurollen:

Unbekannte sperren iPhones sowie Macs – und fordern Lösegeld

Es ist sehr wichtig, seine Apple ID vorher mit der neuen "Zwei-Faktor-Authentifizierung" abzusichern. (Erkennbar am 6-stelligen Code und geographischer Info, von wo der Zugriff erfolgt.) Damit es gar nicht erst so weit kommen kann.

Besserer Schutz: Zwei-Faktor-Authentifizierung für die Apple ID

Nicht zu verwechseln mit der älteren "Zweistufigen Bestätigung", welche aber schon besser als nichts ist. (Erkennbar am 4-stelligen Code.) Wie man upgraden kann, steht auch im verlinkten Artikel oben.

Wer beim Login auf seine Apple ID noch keinen einmaligen Zahlencode zusätzlich zum Passwort abgefragt bekommt, handelt meines Erachtens grob Fahrlässig mit seinen Daten...

Ein wichtiges Thema ist bei solchen Diensten bekanntlich immer im Sinne des Datenschutzes die berühmte Datensparsamkeit. Ist grundsätzlich auch sinnvoll, kann sich aber auch gegenteilig auswirken: Weil üblicherweise bei Konten wie Apple-ID keine Wohnsitz-Adresse hinterlegt wird, bleibt schlussendlich die Variante Zugang wiederherstellen durch per Briefpost versendeten Einmal-Passwort verwehrt. Dazu kommt noch, dass sich speziell ausländische Dienstanbieter mit dieser Variante schwertun.

In meinem Fall wäre auch der klassische Fax möglich als Zugangswiederherstellmöglichkeit. Das berühmte Patentrezept für eine Lösung, die einerseits unautorisiertes Kapern von Zugängen (die berühmte Schlagzeilenbeispiele von prominenten Persönlichkeiten lassen grüssen, wo der Angreifer die sog. (Un-)"Sicherheitsfragen" mittels Infos aus dem Facebook-Profil beantworten kann) verhindert, umgekehrt der rechtsmässige Besitzer immer seinen Zugang wiederherstellen kann, fehlt bis heute.

Für letzteres hatte ich es auch schon mit Kunden zu tun gehabt, welche beispielsweise deswegen ihren iPad zum Briefbeschwerer degradieren mussten. Oder gerade kürzlich jemand hatte noch Glück gehabt, seinen "Fresszettel" mit den Microsoft-Konto-Zugangsdaten gefunden zu haben, sonst hätte er seine Fr. 300.- teure offiziell gekaute Microsoft Office-Lizenz (Original-Böxchen mit Produktschlüsselkarte vorhanden!) glattwegs auch komplett abschreiben können...

... Oder gerade kürzlich jemand hatte noch Glück gehabt, seinen "Fresszettel" mit den Microsoft-Konto-Zugangsdaten gefunden zu haben, sonst hätte er seine Fr. 300.- teure offiziell gekaute Microsoft Office-Lizenz (Original-Böxchen mit Produktschlüsselkarte vorhanden!) glattwegs auch komplett abschreiben können...

Fehlt da oben im unterstrichenen Wort ein "f" oder ein "l"...?

S.C.N.R. 🙄

Nein, nein, das ist schon korrekt. Besonders die Ersatzzähne nachher waren sehr teuer 😀 .

Das würde natürlich besonders reuen...

Gruss Markus

Sollte "gekaufte" sein (AutoKorrektur lässt grüssen)...

iCloud-Phishing: Anrufe und Textnachrichten vom “Apple Support”

Ab heute können Drittanbieter-Apps nicht mehr mit Apple-ID und Hauptpasswort auf iCloud Dienste zugreifen (aus Sicherheitsgründen richtig):

Apple macht App-spezifische Passwörter für iCloud zur Pflicht

Mit der nächsten Generation der Apple Betriebssysteme, welche diesen Herbst kommen, ist die modernere Zwei-Faktor-Authentifizierung (wie weiter oben in diesem Thread erklärt) Pflicht. Die ältere zweistufige fällt weg.

iOS 11 und macOS High Sierra: Apple mustert zweistufige Bestätigung aus

Mit der zunehmenden Internet-Kriminalität ist das Leben als Apple User auch nicht mehr so sorgenfrei wie früher...

macOS: Banking-Trojaner propagiert Installation des Krypto-Messengers Signal

Apple-ID: Polizei warnt vor neuer Phishing-Welle

Sie versuchen es mal wieder:

Erneut iCloud-Erpressungswelle über "Meinen Mac suchen" und "Mein iPhone suchen"

Interessanter Beitrag eines Spezialisten zum Thema:

Interview: Wie sicher sind iOS und macOS vor Angriffen?

Was man im "worst case" noch tun kann:

iPhone per iCloud von Erpressern gesperrt: Was Sie tun können

Neue Masche:

Apple-ID-Phishing: Rechnung über teure In-App-Käufe als Lockmittel