Phishing-Betrug missbraucht Apples eigenes Notification-System
Eine neue Phishing-Kampagne nutzt Apples Notifications für Kontoänderungen aus, um iPhone-Betrugsnachrichten innerhalb von E-Mails zu verbreiten, die direkt von Apples eigenen Servern versendet werden.
Die E-Mails bestehen die Authentifizierungsprüfungen SPF, DKIM und DMARC und stammen von der Adresse appleid@id.apple.com, wodurch sie auf technischer Ebene nicht von legitimen Apple-Sicherheitswarnungen zu unterscheiden sind.
So funktioniert der Hacker-Angriff
Erstmals dokumentiert wurde die Methode von BleepingComputer. Ein Angreifer erstellt eine gewöhnliche Apple-ID und verteilt eine Phishing-Nachricht auf die Felder für Vor- und Nachname, wobei kein einzelnes Feld groß genug für den gesamten Text ist. Anschließend löst der Angreifer Apples automatische Sicherheitsbenachrichtigung aus, indem er eine kleine Änderung an den Versandinformationen des Kontos vornimmt.
Da Apple diese vom Nutzer eingegebenen Namensfelder direkt in seine Warn-E-Mails übernimmt, wird die Phishing-Nachricht in eine legitime Benachrichtigung eingebettet und über Apples eigene Mail-Infrastruktur verschickt. Die E-Mail läuft über Apples Versandserver und besteht alle üblichen Authentifizierungsprüfungen ohne Probleme.
Was die E-Mail behauptet
Die eingebettete Nachricht informiert den Empfänger darüber, dass ein iPhone im Wert von 899 US-Dollar über PayPal gekauft wurde, und enthält eine Telefonnummer, unter der die Transaktion storniert werden soll. Diese Nummer führt jedoch nicht zu Apple.
Während des Anrufs wird den Opfern mitgeteilt, ihr Konto sei kompromittiert worden. Anschließend drängen die Betrüger dazu, Fernzugriffssoftware zu installieren oder direkt finanzielle Daten preiszugeben.
Warum herkömmliche Erkennung versagt und was zu tun ist
Spamfilter, die Nachrichten anhand der Absender-Authentifizierung bewerten, lassen diese E-Mails problemlos passieren. Absenderadresse, Domain und Infrastruktur gehören tatsächlich zu Apple. Auffällig sind nur strukturelle Details: Die E-Mail beginnt mit „Dear User“ statt mit dem Namen des Empfängers, verweist auf eine iCloud-Adresse, die nicht zum Empfänger gehört, und enthält keine Rechnungsadresse, die bei echten Apple-Kaufbestätigungen immer angegeben wird.
Es ist dringend davon abzuraten, Telefonnummern aus unerwarteten Apple-Benachrichtigungen zu kontaktieren. Stattdessen sollte die Kaufhistorie direkt über appleid.apple.com überprüft werden. Offizielle Apple-Supportnummern sind ausschließlich auf apple.com gelistet und erscheinen nicht in Benachrichtigungen über Kontoänderungen. Fordert ein Anrufer zur Installation von Fernzugriffssoftware auf, handelt es sich um ein klares Warnsignal für einen Betrugsversuch.
Apple wurde über das Problem informiert. Eine Lösung steht derzeit noch aus, sodass weiterhin Gefahr besteht.
Quelle(n)
