Klienci Apple celem phishingu. Sprytna kampania gromadzi szczegółowe dane

W posiadaczy urządzeń firmy Apple wymierzona została bardzo dobrze przygotowana kampania phishingowa. Atak zaczyna się od e-maila, do którego załączona jest rzekomo faktura w formacie PDF z dowodem zakupu w App Store aplikacji za 31 dolarów. E-mail informuje, że jeśli nie autoryzowaliśmy tej transakcji, trzeba ją anulować i podaje odnośnik do tego. Jak łatwo się domyślić, nie zostaniemy przekierowani na stronę Apple.

Sztuczka polega na tym, by odbiorca e-maila uwierzył, że na jego koncie zanotowana została transakcja, której sam nie przeprowadził. Osoba wystraszona perspektywą utraty 31 dolarów jest bardziej skłonna, by kliknąć link przysłany przez atakujących i przejść dalej przez cały proces. E-maile mogą wyglądać różnie – BleepingComputer podaje przykład z grą 8 Ball Pool, Komando zaś pokazuje wiadomość z fakturą za grę Last Battleground: Mech.

Klienci z Niemiec otrzymują e-maile z fakturami w swoim języku, ale zasada działania ataku jest identyczna i nie można wykluczyć, że jest to część tej samej kampanii. Trzeba mieć się na baczności – kampania może dotrzeć także do Polski.

W fakturze lub e-mailu znajdziemy link pozwalający rzekomo zgłosić nieautoryzowaną transakcję. Oczywiście wszystkie linki zostały skrócone, więc trudno zorientować się, dokąd prowadzą bez klikania. Docelowa strona to podróbka strony zarządzania kontem Apple ID. Trzeba dodać, że podróbka bardzo wysokiej jakości. Zdradza je jedynie podejrzany adres, widoczny w przeglądarce.

Jeśli ofiara ataku da się nabrać i poda swój adres e-mail, zostanie przekierowana do kolejnej strony. Tym razem zobaczymy informację o tym, że to Apple ID zostało zablokowane z powodu naruszenia bezpieczeństwa i trzeba je odblokować, zanim będziemy mogli działać dalej (w tym przypadku odzyskać 31 dolarów, 12 euro albo inna kwotę, którą wymyślą atakujący). Wszystko wygląda tak, jakby na konto ktoś się włamał i kupił sobie grę, co może jeszcze bardziej zdenerwować ofiarę. Atakujący na to właśnie liczą.

Rzekome odblokowanie konta wymaga podania szczegółowych danych jak nazwisko, adres, numer telefonu, numer ubezpieczenia (w USA), data urodzenia, dane płatnicze, numer prawa jazdy, nazwisko panieńskie matki albo numer paszportu. Po wypełnieniu formularza użytkownik zostanie automatycznie wylogowany, a cyberprzestępcy mają dostęp do jego wszystkich danych. Dla niepoznaki zostaniemy po tym procesie przekierowani do prawdziwej strony zarządzania Apple ID.

Prawdziwy geniusz tego ataku przejawia się w tym, że po przekierowaniu prawdziwa strona appleid.apple.com wyświetli wiadomość o tym, że sesja wygasła dla naszego bezpieczeństwa. Gorzej zorientowany użytkownik może uznać, że to część procesu przywracania konta i w ogóle na to nie zareagować.

Tymczasem Cyberprzestępcy mają wszystkie dane potrzebne do przejęcia tożsamości ofiary. Dysponując takim zestawem danych mogą nawet próbować przejąć czyjeś konto bankowe.