この事件は、2014年8月末に、ジェニファー・ローレンスやケイト・アプトンなどのセレブの写真がインターネットに投稿されたことで発覚した。だが、詳細はまだ明らかになっていない。ハッキングには「iBrute」というブルートフォース（総当たり）攻撃ツールが使用された。これは事件前日にコードリポジトリサービス「GitHub」に投稿されたばかりの新しいツールだった。

　Appleの公式発表によれば、同社は事件が報じられてから24時間以内にiCloudへのログイン試行回数を5回に制限した。

　Appleの発表は次の通り。「40時間余りにわたる調査の結果、ユーザー名、パスワード、セキュリティに関する質問に対する高度な標的型攻撃によって、一部の有名人のアカウントへの不正侵入が行われた。こうした攻撃はインターネット上では極めて一般的になっている。当社が調べたケースの中には、iCloudやFind My iPhone（iPhoneを探す）などのAppleのシステムの脆弱性に起因するものはない」

　AppleとFBI（米連邦捜査局）は、引き続き事件の調査を行うものとみられる。

　米MicroStrategyで代表取締役を務めるジョナサン・クライン氏は、2要素認証が適切に導入され有効になっていたらiCloudがハッキングされることはなかったと語る。

　実際、Appleは2013年にiCloudサービスに2要素認証を導入している。この機能を有効にしたユーザーは、アカウントへのログイン時にはiOSモバイルデバイスで一時コードを受け取れるようになっていた。だが、2要素認証が機能するシナリオは限られるという。そのシナリオは「Appleアカウントを管理するために自分のApple IDにサインインする」「新しいデバイスから『iTunes』『App Store』『iBookstore』で買い物をする」「AppleからApple IDに関連するサポートを受ける」場合の3つだ。

　iCloudのバックアップから新しいデバイスにデータを復元する場合やユーザーのフォトストリームにアクセスする場合などには、認証コードは送信されない。米情報セキュリティコンサルティング会社Securosis LLCでCEOを務めるリッチ・モーグル氏は、Appleの2要素認証は比較的初期の段階にあると話す。また、Appleは、ユーザーエクスペリエンスに悪影響を与える可能性がある機能の実装に関して非常に保守的だと指摘する。多要素認証は間違いなくユーザーエクスペリエンスが低下するものとして分類される機能だ。

　モスクワに拠点を置くElcomSoftでCEOを務めるウラジミール・カタロフ氏は、AppleによるiCloudの2要素認証の導入が限定的なのは操作性を第一に考えてのことだという意見に同調する。カタロフ氏は以前からiCloudの2要素認証の限界について警告していた。ユーザーがデバイスを紛失または破損した場合にiCloudバックアップにアクセスするには、別の場所に保存しておいた復元コードが必要になる。だが、必ずしも復元コードがすぐ見つかるとは限らないと話す。

　他の企業もApple同様に、APIベースサービスのログイン試行回数制限の導入で問題に直面していたとモーグル氏はいう。ただし、何の制限も設けなかったことは明らかにAppleのミスだと指摘する。この2つの問題は、昔からのブルートフォース攻撃に対してiCloudアカウントが脆弱になる状況を引き起こしていると考えられる。従業員に個人所有のデバイスを使用した作業を許可することが増えている企業にとっては、流出した写真よりもiCloudがハッキングされた事実の方がはるかに大きな影響を与えているだろう。

　「従業員がBYOD（私物端末の業務利用）デバイスを使用している場合に、iCloudバックアップが有効になっていると、ほぼ全てのデータがバックアップに保存される」とモーグル氏は話す。そのデータには、テキストメッセージ、「iMessage」、連絡先、カレンダーなどの詳細情報が含まれる。また、「iCloudキーチェーン」を使用して複数のAppleデバイスで同期されているログイン資格情報が含まれる可能性もある。

強力なパスワードがiCloudのセキュリティ確保の鍵を握る

　iCloudアカウントを保護する手段として現在の2要素認証が信頼できないとしたら、どうすればよいだろうか。

　企業はモバイルデバイス管理（MDM）製品を使用して従業員が所有するモバイルデバイスのiCloud機能を制限できるとカタロフ氏およびモーグル氏はいう。カタロフ氏はMDMを使用してデフォルトのiCloudバックアップ設定をローカルストレージに変更できることに言及した。これに対して、モーグル氏は、個人所有のデバイスに対してセキュリティ制御が行われることを快く思わない従業員もいると警告する。

　専門家は、iCloudのハッキングによって、MDMの導入以外に明らかになったことがあるとの見方をしている。それは、強力なパスワードを使用し、サイトごとにパスワードを変更するようユーザーを教育する重要性だ。米SANS Instituteでインストラクターを務め、米コンサルティング会社NetIPで代表取締役を務めるキース・パームグレン氏は、オンライン銀行口座のように重要なログインアカウントでも依然として「123456」などのパスワードが一般的に使用されている状況を嘆く。

　「40年以上もの間パスワードセキュリティに関してユーザーに忠告してきた。だが、正直、忠告は十分でなかった」（パームグレン氏）

　例えば、AppleはApple IDに強力なパスワードを使用するポリシーを定めている。パスワードは8文字以上で（上限は32文字）、同じ文字を3回以上連続して使用することはできない。また、数字、大文字、小文字を含める必要がある。しかし、2012年にノルウェーで開催されたカンファレンス「Password^12」で発表された調査結果によると、8文字のパスワードは6時間あれば破ることが可能だ。

　カタロフ氏は、強力なパスワードを設定して他人にパスワードを教えないことが優れた対策だという。だが、企業と一般ユーザーは、iCloudや「Dropbox」などのクラウドサービスを利用することに起因するセキュリティリスクを認識し、クラウドの利便性とリスクを天秤に掛けるべきだと付け加える。

　「Appleのセキュリティは最高レベルだ。だが、改善の余地はある。人間という要素が絡んでいる限り、技術的な対策だけではプライバシーを保護してセキュリティを確保することはできない」（カタロフ氏）