Une escroquerie par hameçonnage abuse du système de notification de Apple

Une nouvelle campagne de phishing exploite le système de notification de changement de compte de Apple pour diffuser des arnaques à l'achat d'iPhone dans des courriels envoyés directement depuis les serveurs de Apple.

Les courriels passent les contrôles d'authentification SPF, DKIM et DMARC et proviennent de [email protected], ce qui les rend impossibles à distinguer des alertes de sécurité légitimes de Apple au niveau technique.

Comment l'attaque fonctionne-t-elle ?

La méthode a été documentée et reproduite pour la première fois par BleepingComputer. Un pirate crée un identifiant Apple standard et répartit un message d'hameçonnage dans les champs du prénom et du nom de famille du compte, étant donné qu'aucun champ n'est assez grand pour contenir le texte complet. L'attaquant déclenche ensuite le système de notification automatique de sécurité de Apple en apportant une modification mineure aux informations d'expédition du compte.

Étant donné que Apple intègre ces champs de nom fournis par l'utilisateur directement dans ses courriels d'alerte, le message d'hameçonnage est intégré dans une notification légitime et délivré à partir de l'infrastructure de messagerie de Apple. L'e-mail passe par le relais sortant de Apple et passe sans problème tous les contrôles d'authentification standard.

Ce que prétend le courriel

Le message intégré indique au destinataire qu'un iPhone de $899 a été acheté via PayPal sur son compte, et indique un numéro de téléphone à composer pour annuler la transaction. Ce numéro n'est pas relié à Apple. Une fois au bout du fil, les victimes apprennent que leur compte a été compromis et les escrocs les incitent à installer un logiciel d'accès à distance ou à communiquer directement leurs données financières.

Pourquoi la détection standard échoue-t-elle et que faire ?

Les filtres anti-spam qui évaluent les messages sur la base de l'authentification de l'expéditeur passent sans problème. L'adresse de l'expéditeur, le domaine et l'infrastructure appartiennent tous à Apple. Les indications structurelles sont le seul indice. L'e-mail s'ouvre sur "Cher utilisateur" au lieu du nom du destinataire, fait référence à une adresse iCloud qui ne lui appartient pas et ne comporte pas l'adresse de facturation que les reçus d'achat authentiques de Apple incluent toujours.

N'appelez aucun numéro figurant dans une alerte Apple non sollicitée. Vérifiez l'historique de vos achats directement sur appleid.apple.com. Apple les numéros d'assistance légitimes d'apple.com sont répertoriés sur apple.com et n'apparaîtront jamais dans une notification de modification de compte. Si un appelant vous demande d'installer un logiciel d'accès à distance, raccrochez immédiatement.

Apple la société apple.com a été informée du problème. Aucun correctif n'est actuellement en place et l'attaque reste active.