Estafador se infiltró en miles de cuentas de iCloud para encontrar fotos de desnudos

Un criminal de Los Ángeles se declaró culpable de cargos por delitos graves después de ingresar a miles de cuentas de iCloud para buscar fotos de mujeres desnudas, informa Los Angeles Times.

Hao Kuo Chi recopiló más de 620.000 fotos y videos privados haciéndose pasar por personal de atención al cliente de Apple y enviando correos electrónicos para engañar a sus víctimas para que proporcionen ID y contraseñas de Apple. Chi usó ingeniería social y esquemas de phishing para coaccionar a sus víctimas, y no violó las protecciones ‌iCloud‌ de Apple.

Chi accedió a fotos y videos de al menos 306 víctimas en los Estados Unidos, y la mayoría de ellas eran mujeres jóvenes. Algunas de las víctimas fueron atacadas a petición de personas que Chi conoció en línea después de que se promocionara como «icloudripper4you», un servicio que podía ingresar a las cuentas de ‌iCloud‌ para robar fotos y videos.

Sus co-conspiradores desconocidos le pedirían a Chi que pirateara una cuenta específica de ‌iCloud‌, y él respondería con un enlace de Dropbox. Chi operaba dos direcciones de Gmail «applebackupicloud» y «backupagenticloud», donde el FBI encontró más de 500.000 correos electrónicos con aproximadamente 4.700 ID de usuario y contraseñas de ‌iCloud‌ que le habían enviado sus víctimas.

La estafa de Chi se vino abajo después de que pirateó la cuenta de ‌iCloud‌ de una figura pública anónima en marzo de 2018 y las fotos terminaron en sitios web pornográficos. El FBI inició una investigación y descubrió que un inicio de sesión en la cuenta ‌iCloud‌ de la víctima provenía de la casa de Chi.

Chi se ha declarado culpable de un cargo de conspiración y tres cargos de obtener acceso no autorizado a una computadora protegida, y ahora enfrenta hasta cinco años de prisión por cada crimen. En una llamada telefónica con Los Angeles TimesChi dijo que estaba «arrepentido» por lo que hizo, pero afirmó que tenía una familia que mantener. Dijo que temía que la exposición pública de sus crímenes «arruinara [his] la vida entera.»

El acceso no autorizado a ‌iCloud‌ perpetrado por Chi es similar a un ataque de 2014 en el que los piratas informáticos obtuvieron acceso a las cuentas de iCloud de celebridades a través de su nombre de usuario y contraseña.

Después de ese incidente, Apple reforzó la seguridad de la cuenta ‌iCloud‌, ofreciendo autenticación de dos factores y enviando correos electrónicos cada vez que hay un nuevo inicio de sesión en una cuenta ‌iCloud‌. Es probable que las personas involucradas en el ataque de Chi no tuvieran habilitada la autenticación de dos factores.

Apple recomienda la autenticación de dos factores para todos los ID de Apple para agregar seguridad adicional, y ofrece un documento de soporte sobre cómo evitar esquemas de phishing como el que usa Chi.