Im Herbst 2014 gerieten unzählige private Nacktfotos von weiblichen Prominenten in Umlauf. Schnell machte der Begriff "iCloud-Hack" die Runde, denn in iCloud gab es tatsächlich eine Sicherheitslücke, über die ein solcher Angriff möglich gewesen wäre. Bei einzelnen iCloud-Diensten hatte Apple nämlich nicht die Anzahl der Passwort-Versuche begrenzt, sodass sich über ein Tool ganz einfach die häufigsten Passwörter durchprobieren ließen. Apple untersuchte die Angelegenheit damals und schloss die bekannt gewordene Lücke rasch. Es konnte bestätigt werden, dass tatsächlich zielgerichtete Angriffe auf iCloud-Nutzer stattfanden. Apple lagen jedoch keine Hinweise vor, wonach die erwähnte Lücke in "Find my iPhone" für die Einbrüche verantwortlich war. Als Reaktion auf die Vorfälle begann Apple, Zwei-Faktor-Authentifizierung in iCloud zu bewerben und Nutzer davon zu überzeugen, die erweiterten Sicherheitsfunktionen zu verwenden.

Kein iCloud-Hack erforderlich
Wie sich jetzt allerdings herausstellte, erfolgte der Bilderdiebstahl tatsächlich auf ganz andere Weise - und nicht etwa durch die iCloud-Lücke. Ein Hacker hatte sich viel einfacherer Wege bedient, um an die Bilder zu gelangen. Aus dem Verfahren gegen den 36-jährigen Mann ging hervor, dass gefälschte E-Mails an Prominente geschickt wurden, die zur Anmeldung in iCloud oder Gmail aufforderten. Reihenweise fielen die Prominenten auf jene Phishing-Mails herein und gaben Accountname sowie Passwort an. Nun war es nur noch erforderlich, sich mit den Daten bei iCloud und Gmail anzumelden - und nach Belieben auf die Daten der Backups zuzugreifen.

Den Gerichtsunterlagen zufolge griff der Hacker namens Ryan Collins auf mindestens 50 iCloud- sowie 72 Gmail-Accounts zu. Nicht nachgewiesen werden konnte ihm hingegen, dass er es war, der die Fotos in Umlauf brachte und damit überhaupt erst für großes Aufsehen sorgte. Momentan liegt die erwartete Strafe bei 18 Monaten Gefängnis - sollte sich herausstellen, dass Collins die Bilder auch veröffentlichte, so könnten daraus bis zu fünf Jahre wegen Verstoßes gegen den Computer Fraud and Abuse Act werden. Collins zeigte sich vor Gericht geständig, wies aber den Vorwurf von sich, seine Fotodiebstähle in Foren vertrieben zu haben.