Za napadením nejpopulárnější světové hudební služby stál vietnamský developer, který se útokem pokoušel zvýšit popularitu svých knih prodávaných v rámci AppStoru.
Thuat Nguyen byl až do minulého víkendu jedním z tisíců neznámých vývojářů, kteří prodávají své aplikace v rámci internetového obchodu AppStore. Konkrétně Nguyen se zaměřoval na prodej svých vlastních knih psaných ve vietnamštině. Pravděpodobně velmi nízké prodeje jeho publikací se staly záminkou pro dosud nejvýznamnější útok na několik stovek účtů uživatelů služby iTunes, které Nguyen po jejich ovládnutí využil k rozsáhlým nákupům svých vlastních knih. Tím se ve statistikách okamžitě posunul mezi nejprodávanější autory vůbec, jeho publikace v jednu chvíli dokonce zaujímaly 42 předních příček z 50 nejpopulárnějších knih.
V rámci útoku se Nguyenovi podle Applu podařilo v rámci iTunes ovládnou na 400 účtů, což představuje pouze zhruba 0,0003% všech uživatelů této oblíbené služby. S odkazem na tuto statistiku se společnost Apple, tvůrce a provozovatel iTunes, snaží celou záležitost bagatelizovat výroky jako, že „se nic významného vlastně nestalo.“ Po urgencích ze strany uživatelů, z nichž mnozí nahlásili ztrátu až 500 dolarů ze svých účtů, Apple smazal všechny nguyenovy knihy a pozastavil jeho účet v rámci AppStoru. Firma současně informovala, že v žádném případě nedošlo k porušení zabezpečení jejich serverů a útok byl umožněn především kvůli nízké opatrnosti uživatelů. Apple se také dosud nevyjádřil, jestli okradeným majitelům iTunes účtů vrátí zpět peníze, které Nguyen utratil za své knihy.
Jediným důsledkem nguyenova útoku tak bude častější kontrola CCV kódů platebních a kreditních karet používaných při platbě za zakoupené aplikace a další obsah. Ten Apple dosud kontroloval jen zhruba při každém desátém nákupu, nyní by tomu tak mělo být „už“ při každém třetím. Firma si od toho slibuje omezení škody, kterou potencionální útočníci mohou způsobit neopatrným uživatelům.
Masivní ovládnutí iTunes účtů se Nguyenovi podařilo především díky malým bezpečnostním opatřením uživatelů. Ti jako heslo velmi často používali stejný text, jako je jejich přihlašovací jméno, případně vlastní jméno, nebo kombinaci křestního jména a příjmení. Jedná se o dosud nejrozsáhlejší, rozhodně ale ne o první, útok proti portálu iTunes. Podle zpráv zveřejněných na serveru MacRumors se podobné události, byť v mnohem menším měřítku, dějí už od roku 2008. Společnost Apple na ně ale nikdy nereagovala.
Případ by také měl znamenat ponaučení pro všechny uživatele jakýchkoliv internetových služeb, kteří by si měli uvědomit důležitost komplexních, respektive takzvaných „silných“ hesel. Ty by se měly skládat z kombinace velkých a malých písmen, čísel a znaků, přičemž takto vytvořené heslo by mělo být prakticky nemožné běžnými způsoby prolomit.
Zdroj: PCWorld