Фишинговая афера использует собственную систему уведомлений Apple

Новая фишинговая кампания использует систему уведомлений об изменении учетной записи Apple для доставки мошенничества с покупкой iPhone внутри писем, отправленных непосредственно с собственных серверов Apple.

Письма проходят проверки подлинности SPF, DKIM и DMARC и отправляются с [email protected], что делает их неотличимыми от легитимных уведомлений безопасности Apple на техническом уровне.

Как работает атака

Этот метод был впервые задокументирован и воспроизведен BleepingComputer. Злоумышленник создает стандартный идентификатор Apple и разбивает фишинговое сообщение на поля имени и фамилии учетной записи, поскольку ни одно поле не достаточно велико, чтобы вместить полный текст. Затем злоумышленник запускает автоматическую систему оповещения Apple, внося незначительные изменения в информацию о доставке.

Поскольку Apple использует поля с именами пользователей непосредственно в своих предупреждающих письмах, фишинговое сообщение встраивается в легитимное уведомление и доставляется из собственной почтовой инфраструктуры Apple. Письмо проходит через Apple'outbound relay и без проблем проходит все стандартные проверки подлинности.

Что утверждает письмо

Встроенное сообщение сообщает получателю, что iPhone стоимостью $899 был приобретен через PayPal на их счет, и содержит номер телефона, по которому можно позвонить и отменить транзакцию. Этот номер не соединяет с Apple. После звонка жертвам сообщают, что их счет взломан, и мошенники вынуждают их установить программное обеспечение для удаленного доступа или напрямую передать финансовые данные.

Почему стандартное обнаружение не работает и что делать

Спам-фильтры, которые оценивают сообщения на основе аутентификации отправителя, проходят этот случай без проблем. Адрес отправителя, домен и инфраструктура принадлежат Apple. Структурные признаки - единственная улика. Письмо открывается словами "Уважаемый пользователь" вместо имени получателя, ссылается на адрес iCloud, который ему не принадлежит, и не содержит адреса для выставления счета, который всегда указывается в подлинных квитанциях о покупке Apple.

Не звоните по номерам, указанным в нежелательных сообщениях Apple. Проверьте историю покупок непосредственно на сайте appleid.apple.com. Apple законные номера службы поддержки указаны на сайте apple.com и никогда не появятся в уведомлении об изменении учетной записи. Если абонент просит Вас установить программное обеспечение для удаленного доступа, немедленно повесьте трубку.

Apple была уведомлена о проблеме. В настоящее время исправления не найдено, и атака остается активной.