O “Fappening” ou “Celebgate” foi um grande vazamento de fotos nuas de celebridades – como a atriz Jennifer Lawrence, a modelo Kate Upton e a cantora Avril Lavigne – que ocorreu em 2014. Desde então, o FBI vem investigando o caso, e só agora um dos hackers será condenado.
>>> Perguntas e respostas sobre o vazamento das fotos de celebridades
Ryan Collins, 36, assinou um acordo de confissão e vai se declarar culpado de violar a Lei de Fraude e Abuso de Computadores. A Procuradoria dos EUA vai recomendar uma pena de 18 meses, mas cabe ao juiz decidir – ele pode ficar até cinco anos em uma prisão federal.
A procuradoria diz que Collins acessou “pelo menos 50 contas do iCloud e 72 contas do Gmail, a maioria das quais pertencia a mulheres famosas”. Em vez de explorar falhas no iCloud ou Gmail, ele aplicou o velho golpe do e-mail falso:
… entre novembro de 2012 e setembro de 2014, Collins esteve envolvido em um esquema de phishing para obter nomes de usuário e senhas. Ele enviou e-mails para as vítimas que pareciam ser da Apple ou do Google, pedindo que elas fornecessem seus nomes de usuário e senhas.
Quando as vítimas respondiam, Collins obtinha acesso às contas de e-mail delas. Depois de acessar ilegalmente as contas de e-mail, ele obteve informações pessoais, incluindo fotos nuas e vídeos… Em alguns casos, Collins usava um software para baixar todo o conteúdo dos backups do iCloud das vítimas.
Curiosamente, os investigadores não conseguiram provar que Collins vazou as fotos na internet, só que ele conseguiu roubá-las.
Este não é o primeiro desdobramento pós-“Fappening”. Em outubro de 2014, o FBI realizou uma apreensão na casa de Ed Majerczyk, em Chicago: ele foi acusado de acessar 330 contas do iCloud a partir de seu endereço residencial.
Novamente, foi usado aqui um truque de phishing. Ele enviou um e-mail a partir da conta appleprivacysecurity@icloud.com para uma das vítimas (identificada como J.L., provavelmente Jennifer Lawrence) com os seguintes dizeres:
Seu Apple ID foi usado para fazer login com o iCloud a partir de um dispositivo não-reconhecido… Se foi você, por favor desconsidere esta mensagem. Senão, por sua proteção, recomendamos que você mude sua senha imediatamente. Para sabermos que é você, use este código único 0184737 para resetar a senha em http://applesecurity.serveuser.com/. Pedimos desculpas pela inconveniência e por quaisquer preocupações sobre sua privacidade.
J.L. achou que a mensagem era real, porém a encaminhou a um assistente, que “não se lembra de clicar no link e sabia que não era legítima”.
Também em outubro de 2014, o FBI fez uma apreensão na casa de Emilio Herrera, em Chicago, porque o endereço IP dos computadores no local “foi usado para acessar 572 contas do iCloud”, várias delas de celebridades, entre maio de 2013 e agosto de 2014.
Estas duas apreensões só foram reveladas muito tempo depois. Em janeiro deste ano, um porta-voz do FBI disse ao Gawker que “a investigação ainda não acabou” e que eles “não foram informados de quaisquer desenvolvimentos públicos” – ou seja, nem Herrera nem Majerczyk foram detidos. A agência diz, no entanto, que “o caso contra Collins está diretamente relacionado a essa investigação”.
Uma falha no iCloud também esteve por trás dos vazamentos: era possível usar força bruta e “chutar” a senha de uma Apple ID repetidas vezes até acertar. E Tim Cook reconheceu na época que algumas contas do iCloud foram invadidas após hackers chutarem corretamente as respostas das perguntas de segurança.
Por isso, a Apple passou a enviar alertas via e-mail e notificações push quando uma conta do iCloud for acessada a partir da web. A mensagem traz um link para mudar sua senha, caso seja um acesso não-autorizado. E, desde o iOS8, a autenticação por dois fatores foi estendida para o acesso ao iCloud.
[Justice.gov via Gawker via Washington Post]
Foto por Richard Shotwell/Invision for Lionsgate/AP