Persoonlijke gegevens van 114.000 iPad 3G-gebruikers gelekt

De hackersgroep Goatse Security heeft persoonlijke gegevens van 114.000 iPad-gebruikers in Amerika achterhaald, door gebruik te maken van een beveiligingslek op de website van AT&T. De lijst van gedupeerden bevat CEO’s van grote ondernemingen, politici en hooggeplaatste militairen. De CEO van de New York Times en burgemeester Michael Bloomberg van New York staan op de lijst. Het betreft alleen iPad 3G-gebruikers die gebruik maken van het AT&T-netwerk.

Goatse Security ontdekte eerder zwakheden in Safari en Firefox en in Amazon’s productwaarderingssysteem. De groep kreeg de data in handen via een script op de AT&T-website: door een ICC-ID in de url op te nemen verscheen het bijbehorende e-mailadres. Daarmee konden ze een lijst maken van e-mailadressen gekoppeld aan het ID-nummer waarmee gebruikers herkend worden binnen het AT&T-netwerk. Dit ICC-ID (integrated circuit card identifier) is de identificatie om je simkaart te herkennen en deze aan jouw persoonlijke account te koppelen.

Goatse heeft met een script via de website van AT&T de informatie weten te bemachtigen. Doordat het script zich voordeed als iPad 3G en een ICC-ID toevoegde aan de HTTP-request, verschenen de e-mailadressen. De groep heeft het script automatisch laten draaien en verzamelde op deze manier een lijst van meer dan 100.000 iPad-gebruikers. De fout in de website is inmiddels verholpen, aldus AT&T.

De oorzaak ligt voor zover bekend bij AT&T en zet de relatie met Apple weer onder druk. Toch heeft Apple wel een soort van verantwoordelijkheid als het gaat om de persoonlijke gegevens van haar iPad-gebruikers. Apple heeft AT&T namelijk als enige officiële partner aangewezen en creëert daarmee een lock-in op de iPad. Klanten verwachten van Apple dat ze hun partners zorgvuldig uitkiezen.

Gelukkig valt er volgens beveiligingsexperts met de ICC-ID niet zoveel te doen: “as far as I know, there are no vulnerability or exploit methods involving the ICC ID”, zegt mobiele beveiligingsconsultant Emmanuel Gadaix tegen Business Insider. Een andere expert zegt: “… the disclosure of the ICC-ID has no direct security consequences.”