Az adathalász átverés visszaél a Apple saját értesítési rendszerével

Egy új adathalász-kampány kihasználja a Apple's fiókváltoztatási értesítési rendszert, hogy iPhone-vásárlási csalásokat szállítson közvetlenül a Apple's saját szervereiről küldött e-mailekben.

Az e-mailek átmennek az SPF, DKIM és DMARC hitelesítési ellenőrzéseken, és a [email protected] címről származnak, így technikai szinten megkülönböztethetetlenek a legitim Apple biztonsági figyelmeztetésektől.

Hogyan működik a támadás

A módszert először a BleepingComputer dokumentálta és replikálta. A támadó létrehoz egy szabványos Apple azonosítót, és az adathalász üzenetet felosztja a fiók kereszt- és vezetéknév mezőire, mivel egyetlen mező sem elég nagy a teljes szöveg tárolására. A támadó ezután a Apple automatikus biztonsági értesítési rendszerét indítja el a fiók szállítási adatainak kisebb módosításával.

Mivel a Apple a felhasználó által megadott névmezőket közvetlenül a riasztási e-mailekbe helyezi, az adathalász üzenetet egy legitim értesítésbe ágyazva, a Apple saját levelezési infrastruktúrájából kézbesítik. Az e-mail a Apple kimenő reléjén keresztül halad át, és minden szabványos hitelesítési ellenőrzésen gond nélkül átmegy.

Mit állít az e-mail

A beágyazott üzenet azt mondja a címzettnek, hogy egy 899 dolláros iPhone iPhone-t vásárolt a PayPal-on keresztül a számláján, és tartalmaz egy telefonszámot, amelyet felhívhat, hogy törölje a tranzakciót. Ez a szám nem kapcsolódik a Apple. A hívást követően az áldozatoknak azt mondják, hogy a fiókjukat feltörték, és a csalók távoli hozzáférési szoftver telepítésére vagy a pénzügyi adatok közvetlen átadására kényszerítik őket.

Miért nem működik a szokásos észlelés és mi a teendő

Az olyan spamszűrők, amelyek a feladó hitelesítésén alapuló üzeneteket értékelik, ezt az esetet tisztán átveszik. A feladó címe, a domain és az infrastruktúra mind a Apple címhez tartozik. A szerkezeti elemek az egyetlen árulkodó jelek. Az e-mail a címzett neve helyett a "Kedves felhasználó" felirattal kezdődik, olyan iCloud-címre hivatkozik, amely nem a címzetté, és hiányzik a számlázási cím, amelyet a valódi Apple vásárlási bizonylatok mindig tartalmaznak.

Ne hívjon semmilyen számot, amely be van ágyazva egy kéretlen Apple figyelmeztetésbe. Ellenőrizze a vásárlási előzményeket közvetlenül az appleid.apple.com oldalon. Apple a törvényes ügyfélszolgálati számok az apple.com oldalon szerepelnek, és soha nem jelennek meg egy számlaváltási értesítésben. Ha a hívó távoli hozzáférési szoftver telepítését kéri, azonnal tegye le a telefont.

Apple a vállalatot értesítették a problémáról. Jelenleg nincs javítás, és a támadás továbbra is aktív.