Güvenlik Araştırmacısı, Apple Sistemlerini Kullanarak 2,5 Milyon Dolarlık Vurgun Yaptı!

Apple'ın yazılımlarındaki güvenlik açıklarını tespit etmesine yardımcı olan bir güvenlik araştırmacısı, görünüşe göre belirli bir güvenlik açığını çok cazip buldu.

Bu açığı Cupertino şirketine bildirmek yerine, şirketi 2,5 milyon dolar değerinde hediye kartları ve ürünlerle dolandırmak için kullandığı iddia ediliyor.

ZeroClicks Lab için çalışan Noah Roskin-Frazee, Apple tarafından birden fazla CV raporu için gösterildi ve Apple tarafından özellikle Wi-Fii güvenlik açıkları konusundaki yardımları için teşekkür edildi. Bu konuda alışılmadık olan şey, teşekkürün Apple'ı 2,5 milyon dolar dolandırdığı iddiasıyla tutuklandıktan iki hafta sonra gelmesi oldu.

Apple Siparişleri Toolbox Aracılığıyla Ücretsiz Olarak Değiştirildi

Roskin-Frazee'nin Toolbox olarak bilinen Apple arka uç sisteminde bir güvenlik açığı bulduğu bildirildi. Bu sistem, şirketin siparişleri beklemeye aldığı ve bu süre zarfında düzenlenebildiği bir sistem olarak tanımlanıyor. 404Media, araştırmacı Keith Latteri'nin de yardımıyla bu sisteme erişim sağlamak için bir güvenlik açığı artırma saldırısı kullandığını bildiriyor.

İlk olarak, yalnızca “Şirket B” olarak tanımlanan, ancak Apple için müşteri destek hizmetleri sunan üçüncü taraf bir firma olduğu anlaşılan bir şirkete ait bir çalışan hesabına erişim sağlamak için bir parola sıfırlama aracı kullandıkları belirtiliyor.

Bu hesap, aynı şirket içinde, biri VPN sunucularına erişim sağlayan başka hesaplara erişmek için kullanıldı. Bu sayede Apple'ın Toolbox sistemine erişebildikleri bildiriliyor.

Raporda, sahte isimlerle sipariş verdikleri, daha sonra Toolbox'ı kullanarak ödenecek meblağları 0 $ olarak değiştirdikleri ve siparişlere “telefonlar ve dizüstü bilgisayarlar” gibi ek cihazlar ekledikleri belirtiliyor. Değerleri sıfır olarak değiştirilen diğer siparişler, daha sonra Apple mağazalarından alışveriş yapmak için kullanılabilecek veya değerlerinin yüksek bir yüzdesi karşılığında yeniden satılabilecek hediye kartları içindi.

Raporun en açıklanamaz yanı ise, ürünler için sahte isimler ve kargo adresleri kullanılırken, iki sanıktan birinin sistemi kendisi ve ailesi için bir AppleCare sözleşmesini uzatmak için kullanmış olması. 404Media, iki sanığın avukatlarının yorum talebine yanıt vermediğini söylüyor.