Dansk firma: Fik hacket Apple ID og modtog for 650.000 kroner iPhone 6

En torsdag i december 2014 modtog danske PC Service Center 97 helt nye iPhone 6-telefoner. De var bare ikke bestilt af virksomheden, men af hackere via et hacket Apple ID.

Annonce:
Annonce:

Apple Global Service Exchange eller GSX er Apples online service-portal. Man logger på via sit Apple ID.

Eksempel på en af de phishing-mail som PC Service Center jævnligt modtager:

Emne: Account Deactivated !

Dear Customer,

Your request (Request # 1229769 ) for access privileges on the Apple Global Service Exchange (GSX) system has been denied by for the following reason(s):

After resolving your issue, you may re-apply for GSX access privileges..

Please update and verify your information by clicking the following link:

(Link fjernet, red.)

Viewable by these GSX Roles: Admin, Apprentice, Manager, Technician

Thank you,

En torsdag i december 2014 skete der noget helt uventet i en dansk it-servicevirksomhed.

"Jeg fik et opkald fra to af mine ansatte, der spurgte om grunden til, at der var ankommet 97 iPhone 6-telefoner," fortæller Michael Vedel, der ejer virksomheden PC Service Center.

Sådan opdagede han helt kontant, at der var noget helt galt.

"Det var ikke en bestilling, som vi havde foretaget, og en sådan ordre løber op i mere end 650.000 kroner," fortæller han.

Tilsluttet GSX-systemet
PC Service Center er Apple service-partner og derfor tilmeldt et it-system kaldet GSX eller Apple Global Service Exchange, der anvendes til at bestille telefoner, reservedele eller bytte ødelagte telefoner. 

De ansatte i virksomheden anvender deres personlige Apple ID til at tilgå systemet, når de reparerer eller bytter kundernes Apple-udstyr.

Men denne torsdag var bestillingerne foretaget via en hacket medarbejderkonto.

"Det er sandsynligvis sket via phishing-mails målrettet mod vores medarbejdere. Mine ansatte modtager mange af denne type mails, og de ved således godt, at de udgør en potentiel fare. Men der er altså sket en fejl et sted, der har betydet, at uvedkommende har fået fat i login-informationer til Apple ID og derved GSX-systemet."

Apple-kendere hackede os
Men én ting er at få fat i login-data, en anden er at benytte systemet, der er et dedikeret forhandlersystem, som eksempelvis anvender serienumre og andre unikke identifikationsinformationer på reservedele.

"Hackerne har øjensynlig kendt systemet. Det er der to grunde til," fortæller Michael Vedel og eksemplificerer:

"For det første skal man vide, hvordan man navigerer i systemet. For det andet er de 97 bestilte telefoner udstyret med identifikationsnumre tilknyttet til hver bestilling."

Hver Apple-telefon er udstyret med et unikt nummer, der skal anvendes i forbindelse med, at Apple kan bytte en ødelagt telefon til en ny iPhone.

"Hackerne har haft modet til at hacke en Apple-konto. De har også vidst, hvordan man bestiller varer via systemet og kende 97 unikke identifikationsnumre, der ikke engang er kendt af os. De har handlet på vores vegne med egne data. Det er næppe sket ved et uheld," fortæller han.

Michael Vedel kontakter selvfølgelig Apple, og han får at vide, at der er sket en lignende episode i Malmø i Sverige bare en uge tidligere.

PC Service Center ejes af Michael Vedel (til venstre) og med Jeff Beck Pedersen som partner og medejer. Foto: PC Service Center.

Annonce:

Bange for indbrud
Da PC Service Center selv modtog telefonerne, blev Michael Vedel godt og grundig nervøs.

Han havde pludselig for 650.000 kroner helt nye iPhone 6 liggende på sit lager.

"Bestillingen var næppe foretaget for sjov. Jeg var alvorligt bange for, at vi skulle opleve et røveri i vores butikker foretaget af de personer, der havde bestilt telefonerne," fortæller han.

Han ville naturligvis returnere de mange varer med det samme, men det skulle vise sig at være mere besværligt end som så.

Måtte vente 14 dage
Procedurer i Apples forretning kom til at betyde, at han måtte vente 14 dage med at sende de uønskede hardware-enheder retur til Irland.

"Apples kommentar var, at hvis telefonerne ikke kom retur, så ville vi få en regning. Desuden ville det tage 14 dage at sende telefonerne tilbage igen. Vi kunne ikke bare aflevere dem i en transport," fortæller han.

Kontaktede I slet ikke politiet?

"Vi forsøgte at kontakte politiet, men det blev simpelthen for kompliceret. Det lykkedes slet ikke. Vi valgt i stedet at låse de mange telefoner inde et sikkert sted."

Da de to uger var gået, blev de 97 iPhone-telefoner sendt tilbage til Apples lager.

Episoden kom således ikke til at koste PC Service Center andet end den tid, der var brugt på at håndtere den besværlige episode.

Har I anmeldt sagen til politiet?

"Nej, det har vi ikke."

Hvorfor ikke?

"Det skyldes nok vores tidligere erfaringer med svindel i vores netbutik. It-kriminalitet på dette niveau ryger ud med badevandet. Politiet gør ikke noget ved det," siger han. 

Intet svar fra Apple
Computerworld har kontaktet Apples danske kontaktperson fra Pencil PR, Christina Vedel, og spurgt om, hvordan det kan være så enkelt - via et almindeligt Apple ID - at få adgang til Apples GSX-system.

Ligeledes har vi spurgt om, hvorfor det skal tage 14 dage at lukke en svindelsag som denne.

Der er dog ikke kommet et svar fra Apple på vores spørgsmål.

Læs også:
Farlige hacker-fif: Her er hackernes hemmelige metoder

Politisk magtspil om hacker-lov: Venstre vil sikre flertal uden om regeringen




Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...

Computerworld
Sommeren bliver varm for danske film-pirater: Nu ruller retssagerne
Knap et år efter de første opkrævningsbreve for ulovlig fildeling blev sendt ud er antipirat advokaterne Opus Law på vej i retten.
CIO
"Over halvdelen af mine ledere i it-afdelingen er folk uden en it-baggrund"
Morten Gade landede et af Danmarks største it-projekter til tiden og uden skandaler. Hør ham fortælle om ledelse, tillid, kontraktstrukturer, og hvorfor hans it-ledere ofte ikke har en it-baggrund.
Comon
Om en måned er det slut med gratis Windows 10: Så meget kommer styresystemet til at koste
I et år har det været gratis at opgradere til Windows 10 fra Windows 7 og 8, men om en lille måneds tid er det slut. Derefter må du til pengepungen for at få den nyeste version af Windows.
Channelworld
27 offentligt ansatte sigtet i stor razzia: Mistænkes for at have modtaget it-bestikkelse
Bagmandspolitiet har i stor aktion anholdt 26 it-folk for bestikkelse i forbindelse med den store bestikkelsessag i Region Sjælland. Udenrigsministeriet, DSB og Rigsadvokaten er blandt de ramte.
White paper
Mobility - her er de aktuelle udfordringer
Hvad med sikkerheden? Mobility-bølgen fejer igennem danske virksomheder, og der er masser af muligheder og faldgruber. Sikkerheden halter, men det kan der gøres noget ved. Produceret af Computerworld.dk i oktober 2014.