2010 年，Andrew Auernheimer（網名 weev）利用 AT&T 公開 API 枚舉 ICC-ID（SIM 卡標識），反推 12 萬 iPad 3G 用戶郵箱地址，涉及白宮幕僚長拉姆·伊曼紐爾、紐約市長布隆伯格、ABC 主播黛安·索耶、製片人哈維·溫斯坦等名流。2012 年 11 月陪審團定罪，2013 年判處 41 月監禁（3 年 5 月）。同夥 Daniel Spitler 早已認罪。

攻擊技術細節：公開 API 的「非預期功能」

• AT&T iPad 3G 激活頁面：輸入 ICC-ID 自動回填關聯郵箱（無驗證碼、無速率限制、無權限校驗）。
• ICC-ID 規律性強：前綴固定，後綴遞增，極易暴力枚舉。
• 腳本自動化遍歷 → 郵箱列表 → 社工/撞庫/釣魚後續攻擊。

法律爭議與行業反思

爭議點：「未經授權訪問」定義模糊——API 公開可訪問，無技術門檻，是否構成 CFAA（計算機欺詐和濫用法）犯罪？EFF 等組織稱判決將「爬蟲/安全研究」刑事化，寒蟬效應顯著。

業界教訓：

1. API 安全設計原則：最小權限、速率限制、Token 鑑權、敏感信息脫敏、異常行為檢測（枚舉/遍歷識別）。
2. 數據最小化收集：激活流程無需返回完整郵箱，掩碼顯示或郵件發送驗證碼更安全。
3. 負責任披露機制：建立漏洞獎勵計劃（VRP），引導白帽合規提交，而非刑事追訴制造對立。
4. 供應鏈責任：蘋果作設備方、AT&T 作運營方，雙方均未在聯測中發現該邏輯缺陷。

後續影響

案件推動美國 CFAA 修訂討論、API 安全最佳實踐（OWASP API Top 10）成型、企業普遍部署 API 網關與行為分析。Auernheimer 服刑期間成為爭議焦點，最終上訴法院以「管轄權不當」撤銷定罪，但法律界對「授權訪問」邊界分歧依存。

結語

12 萬 iPad 數據洩露非傳統「入侵」，而是業務邏輯缺陷被自動化利用。安全不在於「有無防火牆」，而在於「業務流程是否經得起惡意遍歷」。API 即產品，須同等嚴格對待安全生命周期。