Już w ubiegłym tygodniu na forum 4chan pojawiły się informacje o tym, że jakiś nieznany hacker wszedł w posiadanie zdjęć nagich celebrytek, z których większość stanowiły tzw. selfies, wykonane najwyraźniej w celach prywatnych. Chodzi m.in.o zdjęcia Jennifer Lawrence, Avril Lavigne, Kate Upton itd. Na liście rzekomo ujawnionych fotek pojawiło się też nazwisko Joanny Krupy. W sumie lista obejmuje ponad 100 nazwisk celebrytek.

Jeden wyciek? Niekoniecznie

Internet zareagował w sposób możliwy do przewidzenia. Zdjęcia zaczęły się pojawiać w różnych miejscach, ale szybko są kasowane. Z wpisów na 4chan wynikało, że miały być wykradzione z kont iCloud, ale na chwilę obecną nie jest to całkiem pewne.

Różne są doniesienia dotyczące autentyczności zdjęć. Rzecznik Ariany Grande stwierdził, że są to materiały "kompletnie fałszywe", podczas gdy rzecznik Jennifer Lawrence wydał oświadczenie o "rażącym naruszeniu prywatności", potwierdzając jednocześnie autentyczność zdjęć i zapowiadając ściganie sprawcy (zob. The Verge, Reported iCloud hack leaks hundreds of nude celebrity photos).

Użytkownik 4chan, który opublikował zdjęcia, najwyraźniej działał w celu zarobkowym. Zabiegał o datki w bitcoinach, co miało stanowić dla niego zachętę do publikowania kolejnych materiałów. Opublikował też obrazki mające stanowić dowód na to, że w jego rękach są kolejne fotki, a nawet filmy.

źródło zrzutu: Buzzfeed

Różne są ustalenia dotyczące "świeżości" tych zdjęć. Niektóre z nich mogły być zrobione w ostatnich tygodniach, ale z oświadczenia Mary Elizabeth Winstead na Twitterze wynika, że w kolekcji są również zdjęcia zrobione "lata temu".

To those of you looking at photos I took with my husband years ago in the privacy of our home, hope you feel great about yourselves.

— Mary E. Winstead (@M_E_Winstead) sierpień 31, 2014

To sugeruje, że kolekcja zdjęć mogła powstawać przez dłuższy czas i nie jest efektem jakiegoś jednorazowego wycieku.

Włamanie, phishing, kradzież?

Można też wątpić w to, że tajemniczy hacker włamał się do iCloud. Możliwe, że ten człowiek uważnie śledził swoje cele, ustalił, z jakich usług korzystają i próbował np. zgadnąć hasło. Mógł dokonać ataku phishingowego, czyli mógł wysłać do ofiar e-mail z prośbą o zalogowanie się na oszukańczej stronie i w ten sposób mógł wejść w posiadanie danych uwierzytelniających.

Niektórzy komentatorzy sądzą, że za wykradzeniem zdjęć mogły stać osoby zbliżone do gwiazd albo zdjęcia mogły zostać pozyskane w wyniku kradzieży urządzenia.

Jak już wspomniano, nie jest pewne, czy zdjęcia pochodzą tylko z usługi iCloud. Niektóre widoczne na nich osoby mają urządzenia z Androidem, co sugeruje wyciągnięcie zdjęć z usług Google albo Dropboksa. Jest nawet hipoteza uwzględniająca Snapchata, bo część zdjęć miała dodany tekst.

Praca zbiorowa?

Żadna z tych hipotez nie jest doskonała, ale wszystkie mogą stanowić część prawdy. Możliwe, że jakaś grupa osób zbierała te zdjęcia przez dłuższy czas z różnych źródeł. Możliwe, że są to materiały o różnym pochodzeniu i czasie powstania, zdobyte różnymi metodami. Nie ma całkowitej pewności, że wszystkie są autentyczne. Bardzo prawdopodobna wydaje się hipoteza o tym, że grupa kolekcjonerów takich zdjęć chciała stworzyć (lub niechcący stworzyła) wrażenie jednego dużego wycieku z jednej usługi.

Chmura nie gwarantuje prywatności

Oczywiście przy takich okazjach specjaliści od bezpieczeństwa przypominają o jednej ważnej zasadzie. Usługi chmurowe to nie jest dobre miejsce na trzymanie plików, których nie chcielibyśmy nikomu pokazać. W momencie przesłania plików na jakikolwiek serwer po prostu wyzbywamy się kontroli nad nimi. Oczywiście usługodawcy dbają o bezpieczeństwo jak mogą, ale nie istnieje coś takiego jak idealnie bezpieczna usługa chmurowa. 

Opinia ekspertów:

Co mogło zawieść, że doszło do tego wycieku?

Michał Romanowski, pasjonat i promotor rozwiązań chmurowych w wielu firmach: W mojej opinii zawiodło zabezpieczenie dostępu do konta. Wina nie leży po stronie dostawcy lecz użytkowników. Albo było to łatwe do odgadnięcia hasło, albo odpowiedź na pytanie, w przypadku gdy zapomnieliśmy hasła, była oczywista lub łatwa do sprawdzenia. Jako login często służy adres e-mail, który jest łatwo namierzyć. Większość użytkowników stosuje proste do odgadnięcia hasła. Albo - co gorsze - ustawiając pytania i odpowiedzi, które mają nam pomóc odzyskać zapomniane hasło, ustawiamy zbyt łatwe odpowiedzi. Osoba, która chce się włamać na nasze konto, bez trudu może sprawdzić, jak na imię ma nasza dziewczyna, jak wabi się nasz pies, czy jakie jest panieńskie nazwisko naszej mamy.

Dariusz Nawojczyk, Oktawave: Nie wiem, czy na tę chwilę możemy powiedzieć, że wyciek zdjęć na pewno dotyczy serwisu iCloud. Jeśli tak faktycznie jest, to powodów może być mnóstwo, począwszy od sprawnie napisanego oprogramowania, którym ktoś mógł zainfekować telefony ofiar, przez lukę w mechanizmach autoryzacji, a na czyimś fizycznym dostępie do infrastruktury produkcyjnej lub backupów kończąc. Myślę, że Apple ustosunkuje się do tych hipotez już niedługo.

Jak się zabezpieczać przed podobnymi wpadkami? Czy jedynym sposobem jest nietrzymanie takich zdjęć w chmurze?

Michał Romanowski: Nietrzymanie nagich zdjęć w chmurze niewiele nam pomoże, jeśli np. zgubimy komputer. Jeśli już takie zdjęcia mamy, należy zabezpieczyć je z największą starannością z zachowaniem powszechnie przyjętych zasad (bardzo łatwo znaleźć takie porady w internecie). Czy przechowujemy je na wirtualnym dysku, czy lokalnym, zasada jest ta sama. Utrudnijmy najbardziej jak się da dostęp do nich. Przy wyborze dysku wirtualnego warto sprawdzić renomę dostawcy. Jednak - jak widać - i znana firma nam nie pomoże, jeśli sami nie zadbamy należycie o nasze dane. Dostawca zapewni odpowiednie zabezpieczenie infrastruktury, na pewno lepiej niż my potrafimy to zrobić we własnym zakresie. Wąskim gardłem jest zabezpieczenie dostępu do konta w chmurze. A ten obowiązek jest po stronie użytkownika.

Dariusz Nawojczyk: To nie jest kwestia koncepcji chmury, co próbują przemycić w dyskusji niektórzy komentatorzy. Idąc tym tropem należy nie wychodzić z domu lub nie wsiadać do samochodu, bo przecież może się nam coś przytrafić. Idąc jeszcze o krok dalej, musielibyśmy nakreślić w ogóle dość ponurą wizję świata, w którym nie pojawiają się rzeczy lepsze od obecnych, ponieważ wiążą się one z jakimś ryzykiem. Co by było, gdyby któraś z gwiazd zgubiła telefon z pikantnymi zdjęciami i ktoś go znalazł? Efekt mógłby być taki sam, ale czy to oznaczałoby, że jedyna ochrona przed takimi wypadkami polegałaby na nierobieniu zdjęć telefonem komórkowym? Ile chwil uwiecznionych poprzez zdjęcie odeszłoby w niepamięć? I to jest sedno sprawy: zdarzają się wypadki, zguby, włamania, ale nie oznacza to, że powinniśmy rezygnować z pozytywnych aspektów danego wynalazku. Godzimy się na ryzyko latania samolotem, bo w zamian w kilkanaście godzin możemy się znaleźć w Australii. Podobnie jest z chmurą, to ogromna wygoda i elastyczność, a prawdopodobieństwo wycieku z niej danych jest nieporównywanie mniejsze niż choćby zgubienie telefonu.

Co mogą zrobić osoby, które są ofiarami takiego wycieku? Czy istnieje możliwość ograniczenia dystrybucji zdjęć, które wyciekły?

Michał Romanowski: Myślę, że mleko już się rozlało. Internet nie zapomina i zdjęcia, które wyciekły, już w nim pozostaną. Osoby, których prywatne zdjęcia wyciekły do internetu, mają bardzo ograniczone pole manewru. Oczywiście pozostaje droga prawna, do której zachęcam, ale należy pamiętać, że szanse na to, że uda nam się je trwale usunąć, są praktyczne żadne.

Dariusz Nawojczyk: Można próbować walczyć z tym jakimiś środkami prawnymi, ale przewiduję, że będzie to raczej walka z wiatrakami. Można też próbować odwoływać się do poczucia dobrego smaku internautów, co niektóre gwiazdy próbują robić. Jednak w wypadku 4chana nie liczyłbym na skuteczność w żadnym z tych wypadków: 4chan stoi jednak nieco ponad prawem i nie słynie z jakiejś wybitnej delikatności (choć na dziś rzeczony wątek został z forum usunięty).