En torsdag i december 2014 skete der noget helt uventet i en dansk it-servicevirksomhed.
"Jeg fik et opkald fra to af mine ansatte, der spurgte om grunden til, at der var ankommet 97 iPhone 6-telefoner," fortæller Michael Vedel, der ejer virksomheden PC Service Center.
Sådan opdagede han helt kontant, at der var noget helt galt.
"Det var ikke en bestilling, som vi havde foretaget, og en sådan ordre løber op i mere end 650.000 kroner," fortæller han.
Tilsluttet GSX-systemet
PC Service Center er Apple service-partner og derfor tilmeldt et it-system kaldet GSX eller Apple Global Service Exchange, der anvendes til at bestille telefoner, reservedele eller bytte ødelagte telefoner.
De ansatte i virksomheden anvender deres personlige Apple ID til at tilgå systemet, når de reparerer eller bytter kundernes Apple-udstyr.
Men denne torsdag var bestillingerne foretaget via en hacket medarbejderkonto.
"Det er sandsynligvis sket via phishing-mails målrettet mod vores medarbejdere. Mine ansatte modtager mange af denne type mails, og de ved således godt, at de udgør en potentiel fare. Men der er altså sket en fejl et sted, der har betydet, at uvedkommende har fået fat i login-informationer til Apple ID og derved GSX-systemet."
Apple-kendere hackede os
Men én ting er at få fat i login-data, en anden er at benytte systemet, der er et dedikeret forhandlersystem, som eksempelvis anvender serienumre og andre unikke identifikationsinformationer på reservedele.
"Hackerne har øjensynlig kendt systemet. Det er der to grunde til," fortæller Michael Vedel og eksemplificerer:
"For det første skal man vide, hvordan man navigerer i systemet. For det andet er de 97 bestilte telefoner udstyret med identifikationsnumre tilknyttet til hver bestilling."
Hver Apple-telefon er udstyret med et unikt nummer, der skal anvendes i forbindelse med, at Apple kan bytte en ødelagt telefon til en ny iPhone.
"Hackerne har haft modet til at hacke en Apple-konto. De har også vidst, hvordan man bestiller varer via systemet og kende 97 unikke identifikationsnumre, der ikke engang er kendt af os. De har handlet på vores vegne med egne data. Det er næppe sket ved et uheld," fortæller han.
Michael Vedel kontakter selvfølgelig Apple, og han får at vide, at der er sket en lignende episode i Malmø i Sverige bare en uge tidligere.
Bange for indbrud
Da PC Service Center selv modtog telefonerne, blev Michael Vedel godt og grundig nervøs.
Han havde pludselig for 650.000 kroner helt nye iPhone 6 liggende på sit lager.
"Bestillingen var næppe foretaget for sjov. Jeg var alvorligt bange for, at vi skulle opleve et røveri i vores butikker foretaget af de personer, der havde bestilt telefonerne," fortæller han.
Han ville naturligvis returnere de mange varer med det samme, men det skulle vise sig at være mere besværligt end som så.
Måtte vente 14 dage
Procedurer i Apples forretning kom til at betyde, at han måtte vente 14 dage med at sende de uønskede hardware-enheder retur til Irland.
"Apples kommentar var, at hvis telefonerne ikke kom retur, så ville vi få en regning. Desuden ville det tage 14 dage at sende telefonerne tilbage igen. Vi kunne ikke bare aflevere dem i en transport," fortæller han.
Kontaktede I slet ikke politiet?
"Vi forsøgte at kontakte politiet, men det blev simpelthen for kompliceret. Det lykkedes slet ikke. Vi valgt i stedet at låse de mange telefoner inde et sikkert sted."
Da de to uger var gået, blev de 97 iPhone-telefoner sendt tilbage til Apples lager.
Episoden kom således ikke til at koste PC Service Center andet end den tid, der var brugt på at håndtere den besværlige episode.
Har I anmeldt sagen til politiet?
"Nej, det har vi ikke."
Hvorfor ikke?
"Det skyldes nok vores tidligere erfaringer med svindel i vores netbutik. It-kriminalitet på dette niveau ryger ud med badevandet. Politiet gør ikke noget ved det," siger han.
Intet svar fra Apple
Computerworld har kontaktet Apples danske kontaktperson fra Pencil PR, Christina Vedel, og spurgt om, hvordan det kan være så enkelt - via et almindeligt Apple ID - at få adgang til Apples GSX-system.
Ligeledes har vi spurgt om, hvorfor det skal tage 14 dage at lukke en svindelsag som denne.
Der er dog ikke kommet et svar fra Apple på vores spørgsmål.
Læs også:
Farlige hacker-fif: Her er hackernes hemmelige metoder
Politisk magtspil om hacker-lov: Venstre vil sikre flertal uden om regeringen
