O esquema de phishing abusa do próprio sistema de notificação do Apple

Uma nova campanha de phishing está explorando o sistema de notificação de alteração de conta do Apple para aplicar golpes de compra do iPhone em e-mails enviados diretamente dos próprios servidores do Apple.

Os e-mails passam pelas verificações de autenticação SPF, DKIM e DMARC e são originários do site [email protected], o que os torna indistinguíveis dos alertas de segurança legítimos do site Apple em nível técnico.

Como o ataque funciona

O método foi documentado e replicado pela primeira vez pelo site BleepingComputer. Um invasor cria uma ID Apple padrão e divide uma mensagem de phishing nos campos de nome e sobrenome da conta, já que nenhum campo é grande o suficiente para conter o texto completo. Em seguida, o invasor aciona o sistema de notificação automática de segurança do Apple fazendo uma pequena alteração nas informações de envio da conta.

Como o Apple extrai esses campos de nome fornecidos pelo usuário diretamente para seus e-mails de alerta, a mensagem de phishing é incorporada a uma notificação legítima e entregue pela própria infraestrutura de e-mail do Apple. O e-mail passa pelo relé de saída do Apple e passa por todas as verificações de autenticação padrão sem problemas.

O que o e-mail alega

A mensagem incorporada informa ao destinatário que um iPhone de US$ 899 foi comprado pelo PayPal em sua conta e inclui um número de telefone para ligar e cancelar a transação. Esse número não se conecta a Apple. Após a ligação, as vítimas são informadas de que suas contas foram comprometidas e os golpistas as pressionam a instalar um software de acesso remoto ou a fornecer detalhes financeiros diretamente.

Por que a detecção padrão falha e o que fazer

Os filtros de spam que pontuam as mensagens com base na autenticação do remetente são aprovados sem problemas. O endereço do remetente, o domínio e a infraestrutura pertencem ao site Apple. As informações estruturais são a única revelação. O e-mail abre com "Dear User" (Prezado usuário) em vez do nome do destinatário, faz referência a um endereço do iCloud que não pertence a ele e não tem o endereço de cobrança que os recibos de compra genuínos do Apple sempre incluem.

Não ligue para nenhum número incluído em um alerta não solicitado do Apple. Verifique o histórico de compras diretamente em appleid.apple.com. Apple os números de suporte legítimos da Apple estão listados no site apple.com e nunca aparecerão em uma notificação de alteração de conta. Se o autor da chamada solicitar que o senhor instale um software de acesso remoto, desligue imediatamente.

Apple a Apple Inc. foi notificada sobre o problema. Nenhuma correção foi implementada no momento e o ataque continua ativo.