Phishing-bedrägeri missbrukar Apple:s eget meddelandesystem

En ny nätfiskekampanj utnyttjar Apple:s system för meddelande om kontoändringar för att leverera bedrägerier om iPhone-köp i e-postmeddelanden som skickas direkt från Apple:s egna servrar.

E-postmeddelandena passerar SPF, DKIM och DMARC autentiseringskontroller och kommer från [email protected], vilket gör att de inte kan skiljas från legitima Apple säkerhetsvarningar på teknisk nivå.

Hur attacken fungerar

Metoden dokumenterades och replikerades först av BleepingComputer. En angripare skapar ett standard-ID på Apple och delar upp ett nätfiskemeddelande över kontots för- och efternamnsfält, eftersom inget enskilt fält är tillräckligt stort för att innehålla hela texten. Angriparen utlöser sedan Apple s automatiska säkerhetsmeddelandesystem genom att göra en mindre ändring av kontots leveransinformation.

Eftersom Apple hämtar dessa namnfält från användarna direkt till sina varningsmeddelanden bäddas nätfiskemeddelandet in i ett legitimt meddelande och levereras från Apple:s egen e-postinfrastruktur. E-postmeddelandet går via Apple:s utgående relä och klarar alla standardautentiseringskontroller utan problem.

Vad e-postmeddelandet påstår

Det inbäddade meddelandet berättar för mottagaren att en $ 899 iPhone köptes via PayPal på deras konto och innehåller ett telefonnummer för att ringa och avbryta transaktionen. Det numret ansluter inte till Apple. När de väl ringer får offren veta att deras konto har äventyrats och bedragare driver dem att installera programvara för fjärråtkomst eller överlämna finansiella detaljer direkt.

Varför standarddetektering misslyckas och vad man ska göra

Skräppostfilter som poängsätter meddelanden baserat på avsändarautentisering klarar detta utan problem. Avsändaradressen, domänen och infrastrukturen tillhör alla Apple. De strukturella berättelserna är den enda giveawayen. E-postmeddelandet inleds med "Dear User" istället för mottagarens namn, hänvisar till en iCloud-adress som inte tillhör dem och saknar den faktureringsadress som äkta Apple -köpskvitton alltid innehåller.

Ring inte något nummer som är inbäddat i en oönskad Apple -varning. Kontrollera köphistoriken direkt på appleid.apple.com. Apple apple's legitima supportnummer finns listade på apple.com och kommer aldrig att visas i ett meddelande om kontoändring. Om en uppringare ber dig att installera programvara för fjärråtkomst, lägg på omedelbart.

Apple har underrättats om problemet. Ingen lösning finns för närvarande på plats och attacken förblir aktiv.