Oszustwo phishingowe wykorzystuje własny system powiadomień Apple

Nowa kampania phishingowa wykorzystuje system powiadamiania o zmianie konta Apple do dostarczania oszustw związanych z zakupem iPhone'a w wiadomościach e-mail wysyłanych bezpośrednio z własnych serwerów Apple.

Wiadomości e-mail przechodzą testy uwierzytelniania SPF, DKIM i DMARC i pochodzą z adresu [email protected], dzięki czemu na poziomie technicznym nie różnią się od legalnych alertów bezpieczeństwa Apple.

Jak działa atak

Metoda została po raz pierwszy udokumentowana i powielona przez BleepingComputer. Atakujący tworzy standardowy identyfikator Apple i dzieli wiadomość phishingową na pola imienia i nazwiska konta, ponieważ żadne pojedyncze pole nie jest wystarczająco duże, aby pomieścić pełny tekst. Następnie atakujący uruchamia automatyczny system powiadomień bezpieczeństwa Apple, wprowadzając niewielką zmianę w informacjach o wysyłce konta.

Ponieważ Apple pobiera te pola nazw podane przez użytkownika bezpośrednio do wiadomości e-mail z ostrzeżeniami, wiadomość phishingowa jest osadzona w legalnym powiadomieniu i dostarczana z własnej infrastruktury pocztowej Apple. Wiadomość e-mail przechodzi przez przekaźnik wychodzący Apple i bez problemu przechodzi wszystkie standardowe kontrole uwierzytelniania.

Co zawiera wiadomość e-mail

Osadzona wiadomość informuje odbiorcę, że iPhone o wartości $899 został zakupiony za pośrednictwem PayPal na jego koncie i zawiera numer telefonu, pod który można zadzwonić i anulować transakcję. Numer ten nie łączy się z Apple. Po nawiązaniu połączenia ofiary są informowane, że ich konto zostało przejęte, a oszuści nakłaniają je do zainstalowania oprogramowania zdalnego dostępu lub bezpośredniego przekazania danych finansowych.

Dlaczego standardowe wykrywanie zawodzi i co robić

Filtry antyspamowe, które oceniają wiadomości na podstawie uwierzytelnienia nadawcy, przechodzą przez tę próbę bezbłędnie. Adres nadawcy, domena i infrastruktura należą do Apple. Jedyną wskazówką są informacje strukturalne. Wiadomość e-mail otwiera się słowami "Drogi Użytkowniku" zamiast imienia i nazwiska odbiorcy, odwołuje się do adresu iCloud, który nie należy do odbiorcy i nie zawiera adresu rozliczeniowego, który zawsze zawierają prawdziwe paragony zakupu Apple.

Proszę nie dzwonić pod żaden numer zawarty w niechcianym powiadomieniu Apple. Proszę sprawdzić historię zakupów bezpośrednio na stronie appleid.apple.com. Apple legalne numery pomocy technicznej są wymienione na stronie apple.com i nigdy nie pojawią się w powiadomieniu o zmianie konta. Jeśli osoba dzwoniąca prosi o zainstalowanie oprogramowania do zdalnego dostępu, należy natychmiast się rozłączyć.

Apple została powiadomiona o problemie. Obecnie nie ma żadnej poprawki, a atak pozostaje aktywny.