Kimlik avı dolandırıcılığı Apple'un kendi bildirim sistemini kötüye kullanıyor

Yeni bir kimlik avı kampanyası, doğrudan Apple'un kendi sunucularından gönderilen e-postaların içinde iPhone satın alma dolandırıcılığı yapmak için Apple'un hesap değişikliği bildirim sisteminden yararlanıyor.

E-postalar SPF, DKIM ve DMARC kimlik doğrulama kontrollerini geçmekte ve [email protected] adresinden gelmektedir, bu da onları teknik düzeyde meşru Apple güvenlik uyarılarından ayırt edilemez hale getirmektedir.

Saldırı nasıl çalışıyor

Yöntem ilk olarak BleepingComputer tarafından belgelenmiş ve çoğaltılmıştır. Bir saldırgan standart bir Apple kimliği oluşturur ve kimlik avı mesajını hesabın ad ve soyad alanlarına böler, çünkü hiçbir alan tam metni tutacak kadar büyük değildir. Saldırgan daha sonra hesabın gönderi bilgilerinde küçük bir değişiklik yaparak Apple'un otomatik güvenlik bildirim sistemini tetikliyor.

Apple kullanıcı tarafından sağlanan bu ad alanlarını doğrudan uyarı e-postalarına aldığından, kimlik avı mesajı yasal bir bildirimin içine gömülür ve Apple'un kendi posta altyapısından teslim edilir. E-posta, Apple'un giden aktarıcısından geçer ve tüm standart kimlik doğrulama kontrollerinden sorunsuzca geçer.

E-postada iddia edilenler

Gömülü mesajda alıcıya adresinden 899 dolarlık bir iPhone hesaplarında PayPal aracılığıyla satın alınmış ve işlemi iptal etmek için bir telefon numarası içeriyor. Bu numara Apple adresine bağlanmamaktadır. Aramada kurbanlara hesaplarının ele geçirildiği söyleniyor ve dolandırıcılar onları uzaktan erişim yazılımı yüklemeye ya da finansal bilgileri doğrudan vermeye zorluyor.

Standart algılama neden başarısız olur ve ne yapmalı?

Gönderen kimlik doğrulamasına göre mesajları puanlayan spam filtreleri bunu temiz bir şekilde geçirir. Gönderen adresi, alan adı ve altyapının tamamı Apple adresine aittir. E-posta, alıcının adı yerine "Sayın Kullanıcı" ifadesiyle açılıyor, kendilerine ait olmayan bir iCloud adresine atıfta bulunuyor ve gerçek Apple satın alma makbuzlarında her zaman bulunan fatura adresini içermiyor.

İstenmeyen bir Apple uyarısında yer alan hiçbir numarayı aramayın. Satın alma geçmişini doğrudan appleid.apple.com adresinden kontrol edin. Apple'un yasal destek numaraları apple.com'da listelenir ve hiçbir zaman bir hesap değişikliği bildiriminin içinde görünmez. Arayan kişi sizden uzaktan erişim yazılımı yüklemenizi isterse, telefonu hemen kapatın.

Apple sorun hakkında bilgilendirilmiştir. Şu anda herhangi bir düzeltme yapılmamıştır ve saldırı aktif olmaya devam etmektedir.