Phishing-fraude misbruikt Apple's eigen meldingssysteem

Een nieuwe phishing-campagne maakt misbruik van Apple's systeem voor het melden van accountwijzigingen om iPhone-aankoopfraude af te leveren in e-mails die rechtstreeks van Apple's eigen servers worden verzonden.

De e-mails passeren SPF-, DKIM- en DMARC-verificatiecontroles en zijn afkomstig van [email protected], waardoor ze op technisch niveau niet te onderscheiden zijn van legitieme Apple beveiligingswaarschuwingen.

Hoe de aanval werkt

De methode werd voor het eerst gedocumenteerd en gerepliceerd door BleepingComputer. Een aanvaller maakt een standaard Apple ID aan en verdeelt een phishing-bericht over de voor- en achternaamvelden van de account, aangezien geen enkel veld groot genoeg is om de volledige tekst te bevatten. De aanvaller activeert vervolgens Apple's automatische beveiligingsmeldingssysteem door een kleine wijziging aan te brengen in de verzendgegevens van de account.

Omdat Apple deze door de gebruiker ingevoerde naamvelden rechtstreeks in zijn waarschuwingsmails opneemt, wordt het phishing-bericht ingesloten in een legitieme melding en afgeleverd via Apple's eigen mailinfrastructuur. De e-mail wordt door de uitgaande relay van Apple geleid en doorstaat zonder problemen elke standaard verificatiecontrole.

Wat de e-mail beweert

Het ingesloten bericht vertelt de ontvanger dat een iPhone van $899 is gekocht via PayPal op hun account, en bevat een telefoonnummer om te bellen en de transactie te annuleren. Dat nummer is niet verbonden met Apple. Eenmaal aan de lijn krijgen de slachtoffers te horen dat hun account gecompromitteerd is, en de oplichters dwingen hen om software voor toegang op afstand te installeren of direct financiële gegevens te verstrekken.

Waarom standaarddetectie faalt en wat u kunt doen

Spamfilters die berichten beoordelen op basis van afzenderauthenticatie komen hier goed doorheen. Het adres van de afzender, het domein en de infrastructuur zijn allemaal van Apple. Alleen de structuur verraadt het al. De e-mail opent met "Beste gebruiker" in plaats van de naam van de ontvanger, verwijst naar een iCloud-adres dat niet van hen is, en mist het factuuradres dat echte Apple aankoopbewijzen altijd bevatten.

Bel geen nummers die in een ongevraagde Apple melding staan. Controleer de aankoopgeschiedenis rechtstreeks op appleid.apple.com. Apple de legitieme ondersteuningsnummers staan vermeld op apple.com en zullen nooit in een melding over een accountwijziging verschijnen. Als een beller u vraagt om software voor toegang op afstand te installeren, hang dan onmiddellijk op.

Apple is op de hoogte gesteld van het probleem. Er is momenteel geen oplossing en de aanval blijft actief.