Известувањата за промена на сметката на Apple се злоупотребуваат за испраќање фишинг е-пораки

Предупредувањата за промени на Apple сметки се злоупотребуваат за испраќање лажни фишинг измами за купување iPhone, вметнати во легитимни е-пораки испратени од серверите на Apple, со што се зголемува нивната веродостојност и потенцијално им се овозможува да ги заобиколат филтрите за спам.

Еден читател сподели е-порака со BleepingComputer која изгледала како стандардно безбедносно известување од Apple, во кое се наведува дека информациите на неговата сметка биле ажурирани.

Сепак, во пораката била вметната фишинг мамка која тврдела дека е направено купување на iPhone во вредност од 899 долари преку PayPal, заедно со телефонски број на кој треба да се јави за да ја откаже трансакцијата.

„Почитуван кориснику, купување на iPhone од 899 USD преку PayPal. За откажување јавете се на 18023530761,“ стои во фишинг е-пораката поврзана со Apple сметката.

„Следните промени на вашата Apple сметка, hxfedna24005@icloud.com, беа направени на 14 април 2026 во 19:01:40 GMT:“

„Информации за испорака“

Овие е-пораки се дизајнирани да ги измамат примателите да поверуваат дека нивните сметки биле искористени за измамнички купувања и да ги исплашат да се јават на „поддршката“ на измамниците.

Кога ќе се јават на бројот, измамниците обично се обидуваат да ги убедат жртвите дека нивните сметки се компромитирани и може да им наложат да инсталираат софтвер за далечински пристап или да дадат финансиски информации.

Во претходни callback фишинг кампањи, овој далечински пристап бил користен за кражба на средства од банкарски сметки, инсталирање малициозен софтвер или кражба на податоци.

Злоупотреба на известувања од Apple сметки

Иако фишинг мамката не е нова, кампањата покажува како заканувачките актери продолжуваат да ги развиваат своите тактики со искористување на легитимни функции на веб-страници за спроведување напади.

Фишинг е-пораката била испратена преку инфраструктурата на Apple користејќи ја адресата appleid@id.apple.com и ги поминала проверките за SPF, DKIM и DMARC автентикација, што укажува дека станува збор за легитимна е-порака испратена од Apple.

dkim=pass header.d=id.apple.com header.i=@id.apple.com header.b=o3ICBLWN
spf=pass (spf.icloud.com: domain of uatdsasadmin@email.apple.com designates 17.111.110.47 as permitted sender) smtp.mailfrom=uatdsasadmin@email.apple.com

Понатамошната анализа на заглавјата на е-пораката покажува дека пораката потекнува од инфраструктурата за е-пошта на Apple и не била лажно претставена (spoofed).

Initial server: rn2-txn-msbadger01107.apple.com
Outbound relay: outbound.mr.icloud.com
IP address: 17.111.110.47 (Apple-owned)

За да го изврши нападот, напаѓачот создава Apple ID и ја вметнува фишинг пораката во полињата за лични информации на сметката, разделувајќи го текстот помеѓу полето за име и презиме.

BleepingComputer успеа да го реплицира ова однесување со создавање тест Apple сметка и додавање сличен callback фишинг текст во полињата за име и презиме. Ова е затоа што секое поле не може да ја содржи целата измамничка порака.

За да го активира известувањето за промена на профилот на Apple сметката, напаѓачот ги менува информациите за испорака, што предизвикува Apple да испрати безбедносно предупредување до корисникот за направената промена.

Бидејќи Apple ги вклучува полињата за име и презиме внесени од корисникот во овие известувања, фишинг пораката се вметнува директно во е-поштата и се доставува како дел од легитимно предупредување.

Иако целта на нападите ја примила пораката, е-поштата првично била испратена до iCloud адреса поврзана со сметката на напаѓачот. Оваа адреса исто така е вклучена во известувањето, што ја прави пораката да изгледа позагрижувачка и може да наведе некого да поверува дека сметката е хакирана.

Анализата на заглавјата покажува дека оригиналниот примач се разликува од крајната адреса на испорака, што укажува дека напаѓачот најверојатно користи мејлинг листа за дистрибуција на пораките до повеќе цели.

Оваа кампања е слична на претходна фишинг кампања која ги злоупотребувала iCloud Calendar поканите за испраќање лажни известувања за купување преку серверите на Apple.

Како општо правило, корисниците треба да бидат внимателни со неочекувани известувања за сметка кои тврдат дека има направени купувања или ги поттикнуваат да се јават на телефонски броеви за поддршка, особено ако не иницирале неодамнешни промени или ако пораките содржат необични е-пошта адреси.

BleepingComputer го контактираше Apple во петокот во врска со оваа кампања, но не доби одговор, а злоупотребата сè уште е можна.

Извори:

• Bleeping Computer – Apple account change alerts abused to send phishing emails Bleeping Computer