La truffa di phishing sfrutta il sistema di notifica di Apple

Una nuova campagna di phishing sta sfruttando il sistema di notifica di modifica dell'account di Apple's per fornire truffe per l'acquisto di iPhone all'interno di e-mail inviate direttamente dai server di Apple's.

Le e-mail superano i controlli di autenticazione SPF, DKIM e DMARC e provengono da [email protected], rendendole indistinguibili dagli avvisi di sicurezza legittimi di Apple a livello tecnico.

Come funziona l'attacco

Il metodo è stato documentato e replicato per la prima volta da BleepingComputer. Un aggressore crea un ID Apple standard e divide un messaggio di phishing nei campi del nome e del cognome dell'account, poiché nessun campo è abbastanza grande da contenere il testo completo. L'aggressore attiva quindi il sistema di notifica automatica di sicurezza di Apple apportando una piccola modifica alle informazioni di spedizione dell'account.

Dato che Apple inserisce i campi del nome forniti dall'utente direttamente nelle sue e-mail di avviso, il messaggio di phishing viene incorporato in una notifica legittima e consegnato dalla stessa infrastruttura di posta elettronica di Apple. L'e-mail passa attraverso il relay in uscita di Apple e supera tutti i controlli di autenticazione standard senza problemi.

Cosa sostiene l'e-mail

Il messaggio incorporato comunica al destinatario che un iPhone da 899 dollari è stato acquistato tramite PayPal sul suo conto e include un numero di telefono da chiamare per annullare la transazione. Questo numero non si collega a Apple. Una volta che si chiama, alle vittime viene detto che il loro account è stato compromesso e i truffatori le spingono a installare un software di accesso remoto o a consegnare direttamente i dati finanziari.

Perché il rilevamento standard fallisce e cosa fare

I filtri antispam che classificano i messaggi in base all'autenticazione del mittente passano questo caso senza problemi. L'indirizzo del mittente, il dominio e l'infrastruttura appartengono tutti a Apple. Le indicazioni strutturali sono l'unico indizio. L'e-mail si apre con "Gentile utente" invece del nome del destinatario, fa riferimento ad un indirizzo iCloud che non gli appartiene e manca dell'indirizzo di fatturazione che le ricevute di acquisto autentiche di Apple includono sempre.

Non chiami nessun numero incorporato in un avviso non richiesto di Apple. Controlli la cronologia degli acquisti direttamente su appleid.apple.com. Apple i numeri di assistenza legittimi di sono elencati su apple.com e non appariranno mai all'interno di una notifica di modifica dell'account. Se un chiamante le chiede di installare un software di accesso remoto, riagganci immediatamente.

Apple è stata informata del problema. Al momento non è prevista alcuna soluzione e l'attacco rimane attivo.