La estafa de phishing abusa del propio sistema de notificación de Apple's

Una nueva campaña de phishing está explotando el sistema de notificación de cambio de cuenta de Apple para entregar estafas de compra de iPhone dentro de correos electrónicos enviados directamente desde los propios servidores de Apple.

Los correos electrónicos pasan las comprobaciones de autenticación SPF, DKIM y DMARC y proceden de [email protected], lo que los hace indistinguibles de las alertas de seguridad legítimas de Apple a nivel técnico.

Cómo funciona el ataque

El método fue documentado y reproducido por primera vez por BleepingComputer. Un atacante crea un ID estándar de Apple y divide un mensaje de phishing en los campos del nombre y apellidos de la cuenta, ya que ningún campo es lo suficientemente grande como para contener el texto completo. A continuación, el atacante activa el sistema automático de notificación de seguridad de Apple al realizar un pequeño cambio en la información de envío de la cuenta.

Dado que Apple extrae esos campos de nombre proporcionados por el usuario directamente en sus correos electrónicos de alerta, el mensaje de phishing se incrusta dentro de una notificación legítima y se entrega desde la propia infraestructura de correo de Apple. El correo electrónico pasa por el relé de salida de Apple y supera sin problemas todas las comprobaciones de autenticación estándar.

Lo que afirma el correo electrónico

El mensaje incrustado informa al destinatario de que un iPhone de 899 dólares de https://www.bleepingcomputer.com/news/security/apple-account-change-alerts-abused-to-send-phishing-emails/ fue adquirido a través de PayPal en su cuenta, e incluye un número de teléfono para llamar y cancelar la transacción. Ese número no conecta con Apple. Una vez en la llamada, se informa a las víctimas de que su cuenta ha sido comprometida y los estafadores les presionan para que instalen un software de acceso remoto o les entreguen directamente los datos financieros.

Por qué falla la detección estándar y qué hacer

Los filtros de spam que puntúan los mensajes basándose en la autenticación del remitente pasan éste limpiamente. La dirección del remitente, el dominio y la infraestructura pertenecen todos a Apple. Los indicios estructurales son la única pista. El correo electrónico se abre con "Estimado usuario" en lugar del nombre del destinatario, hace referencia a una dirección de iCloud que no le pertenece y carece de la dirección de facturación que siempre incluyen los recibos de compra auténticos de Apple.

No llame a ningún número incluido en una alerta no solicitada de Apple. Compruebe el historial de compras directamente en appleid.apple.com. Apple los números de asistencia legítimos de Apple aparecen en apple.com y nunca aparecerán dentro de una notificación de cambio de cuenta. Si una persona que llama le pide que instale un software de acceso remoto, cuelgue inmediatamente.

Apple ha sido notificado del problema. Actualmente no existe ninguna solución y el ataque sigue activo.