研究論文によると、両氏は、登録済みの端末のシリアルナンバーを入力してアクティベーションの記録を要求することで、組織の住所や電話番号、電子メールアドレスなどの詳細情報を入手できたという。両氏は9月28日、この研究について、アルゼンチンのブエノスアイレスで開催中のセキュリティカンファレンス「Ekoparty」で詳細を説明する。
シリアルナンバーはさまざまな方法で入手できるが、Smith氏によると、12文字のコードは十分に単純なので、Duo Securityは、考えられるすべてのシリアルナンバーを生成するプログラムを作成できたという。アクティベーション記録の要求には回数制限がないので、攻撃者は何の問題もなく検索を繰り返せると、Smith氏は説明した。
「プログラムを公表するつもりはいないが、これが再現できないことだと思っている振りをするつもりもない。われわれが開発したコードを再現するのは難しくない」(Smith氏)
攻撃者が未登録のシリアルナンバーを入手した場合、そのナンバーで自分の端末を登録し、Wi-Fiのパスワードなど、さらに多くの情報を収集できるという。
Appleは、このシリアルナンバー問題が製品の脆弱性だとは考えていないと述べ、組織がこうした攻撃を抑えるセキュリティ対策を講じるよう促す既存の勧告に言及した。Appleのプログラムに登録される人には、ユーザー認証を要求できる。これには、ユーザー名とパスワード、シリアルナンバーが必要となる。