Un compte iCloud piraté révèle des failles de sécurité chez Apple et Amazon

Startide a écrit:

megadub a écrit:

Talentire a écrit:
Si j'ai bien suivi, le hacker a enregistré une carte bancaire chez Amazon pour pouvoir faire tout le reste.
Quid de cette carte ?
- Le numéro de la carte a-t-il généré aléatoirement ? Si oui, la solution anti-fraude d'Amazon est bidon.
- Si non, à qui appartient cette carte ? Si elle n'appartient pas au journaliste, la sécurité anti-fraude d'Amazon est bidon.

tu prends 4 numéros au hasard

Euh non il faut rajouter une vraie carte bleue complète en fait

Je pense que vu la mesure de la fraude, une fausse carte est pas le plus gros soucis de ces personnes là (ou une carte volée dans un distributeur quelconque, les méthodes sont connues).

felmtg a écrit:

Startide a écrit:

megadub a écrit:

Talentire a écrit:
Si j'ai bien suivi, le hacker a enregistré une carte bancaire chez Amazon pour pouvoir faire tout le reste.
Quid de cette carte ?
- Le numéro de la carte a-t-il généré aléatoirement ? Si oui, la solution anti-fraude d'Amazon est bidon.
- Si non, à qui appartient cette carte ? Si elle n'appartient pas au journaliste, la sécurité anti-fraude d'Amazon est bidon.

tu prends 4 numéros au hasard

Euh non il faut rajouter une vraie carte bleue complète en fait

Je pense que vu la mesure de la fraude, une fausse carte est pas le plus gros soucis de ces personnes là (ou une carte volée dans un distributeur quelconque, les méthodes sont connues).

Sans compter que t'a les cartes "modèle" de paypal qui s'active parfaitement sur les site web, meme si tu peut rien payer avec evidemment

juif a écrit:
Les infos qu'ils ont demandés, je les trouve dans ta poubelle une fois par mois...

kpouer a écrit:

Et ensuite second fail de Apple, mais en fait je me demande ce qu'ils auraient pu demander pour une validation plus fiable.

felmtg a écrit:

En gros il a ajouté une carte sur amazon ce qui lui a permit de ce faire passer pour le journaliste en rappelant amazon (puisqu'il avait le numéro entier de la carte).

Ce qui lui a permit de recuperer les 4 vrai dernier chiffres de la cb du journaliste et simplement avec ça, l'adresse email et postale de la victime il a put recuperer le mot de passe de l'appleid. Donc oui, la securité d'amazon est bidon mais sans grand conséquence direct puisque le compte amazon ne risquait rien (si tu change de location, ils te demandent de referifier ta cb en entrant tout les chiffres manquant).

Le plus gros fail, c'est Apple

3o6 a écrit:

kpouer a écrit:

Et ensuite second fail de Apple, mais en fait je me demande ce qu'ils auraient pu demander pour une validation plus fiable.

De refuser de faire ca par telephone tout simplement
Quand t'oublie ton mot de passe ( qui est forcément 6 chiffres, soit 9 fois sur 10 jjmmaa ) au Crédit Agricole, tu reçois ton mot de passe par courrier.

kpouer a écrit:
Par courier, pas faux enfin ça a un cout important pour un service gratuit. Reste par sms a condition de ne pas pouvoir changer le numéro de téléphone par téléphone

buzzleclair a écrit:

felmtg a écrit:

En gros il a ajouté une carte sur amazon ce qui lui a permit de ce faire passer pour le journaliste en rappelant amazon (puisqu'il avait le numéro entier de la carte).

Ce qui lui a permit de recuperer les 4 vrai dernier chiffres de la cb du journaliste et simplement avec ça, l'adresse email et postale de la victime il a put recuperer le mot de passe de l'appleid. Donc oui, la securité d'amazon est bidon mais sans grand conséquence direct puisque le compte amazon ne risquait rien (si tu change de location, ils te demandent de referifier ta cb en entrant tout les chiffres manquant).

Le plus gros fail, c'est Apple

Et comment a-t-il récupéré les 4 derniers chiffres de la vraie carte ? Bien sur qu'Amazon a un très gros problème de sécurité puisqu'avec la nouvelle carte enregistrée par téléphone, le hacker a pu se connecter sur le compte amazon du journaliste pour là y trouver les 4 derniers chiffres de la vraie CB déjà enregistrée, donc si pour toi pouvoir se connecter sur le compte de quelqu'un ce n'est pas un énorme fail...

Ce qui n'enlève rien à la responsabilité d'Apple, et à l'idiotie de demander des infos accessibles, certes le compte de n'importe quel inconnu est protégé, mais pour une attaque ciblée comme ici c'est impressionnant la facilité d'accès à ces comptes...

3o6 a écrit:

Amazon a corrigé le soucis

buzzleclair a écrit:

3o6 a écrit:

Amazon a corrigé le soucis

Certes, mais dire que le plus gros fail était chez apple en suggérant implicitement que du côté d'amazon la faille n'était pas très importante / dangereuse...

Je ne connais pas la procédure d'achat chez amazon, mais si le but n'avais pas été de récupérer l'accès du compte twitter, rien qu'avec l'accès à amazon et à la vraie carte bleue enregistrée, le hacker pouvait s'acheter un iphone, un imac et toute la panoplie d'apple sans avoir à pirater le compte icloud de quelqu'un ^^

Startide a écrit:
Et tu te fais livrer comment tout ce que tu commandes chez amazon par curiosité ?

buzzleclair a écrit:
oui mais mon message était une réponse à felmtg qui lui soutient que le gros fail vient d'apple, que ce soit corrigé maintenant ne change rien au fait que les 2 se soient plantés sérieusement. ^^

buzzleclair a écrit:

3o6 a écrit:

Amazon a corrigé le soucis

Certes, mais dire que le plus gros fail était chez apple en suggérant implicitement que du côté d'amazon la faille n'était pas très importante / dangereuse...

Je ne connais pas la procédure d'achat chez amazon, mais si le but n'avais pas été de récupérer l'accès du compte twitter, rien qu'avec l'accès à amazon et à la vraie carte bleue enregistrée, le hacker pouvait s'acheter un iphone, un imac et toute la panoplie d'apple sans avoir à pirater le compte icloud de quelqu'un ^^

3o6 a écrit:

Startide a écrit:
Et tu te fais livrer comment tout ce que tu commandes chez amazon par curiosité ?

Bah tu créé un autre compte avec le numéro de cb que tu récupère !

buzzleclair a écrit:
oui mais mon message était une réponse à felmtg qui lui soutient que le gros fail vient d'apple, que ce soit corrigé maintenant ne change rien au fait que les 2 se soient plantés sérieusement. ^^

oups

3o6 a écrit:

Startide a écrit:
Et tu te fais livrer comment tout ce que tu commandes chez amazon par curiosité ?

Bah tu créé un autre compte avec le numéro de cb que tu récupère !

Startide a écrit:

kpouer a écrit:
Par courier, pas faux enfin ça a un cout important pour un service gratuit. Reste par sms a condition de ne pas pouvoir changer le numéro de téléphone par téléphone

Google fait ca par SMS, ca marche très bien.

LaTeamClubic a écrit:
Sa mésaventure a commencé lorsqu'il a tenté de réaliser une restauration des fichiers de son iPhone via son compte iCloud

LaTeamClubic a écrit:
Puis son Mac mini se bloque, lui réclamant un code PIN.

LaTeamClubic a écrit:
Là, la question de sécurité aurait dû faire barrière, puisque le hacker ne connaissait pas la réponse. Mais AppleCare a tout de même fourni au hacker un mot de passe temporaire en échange du nom du possesseur du compte, de son adresse postals et des 4 derniers numéros de sa carte bancaire.

Shenron666 a écrit:

un code PIN pour un poste fixe ?