Matt Mullenweg dokumenterar en listig och elak phishing-bedrägeri mot Apple-konton

Matt Mullenweg: En kväll förra månaden tändes min Apple Watch, iPhone och Mac alla med ett meddelande som bad mig att återställa mitt lösenord. Detta kom från ingenstans; jag hade inte gjort något för att framkalla det. Jag hade till och med Lockdown-läget aktiverat på alla mina enheter. Det spelade ingen roll. Någon spamade Apples legitima lösenordsåterställningsflöde mot mitt konto — en teknik som Krebs dokumenterade redan 2024. Jag avvisade meddelandena, men scenen var satt. Det som gjorde attacken imponerande var nästa drag: Bedragarna kontaktade faktiskt Apple Support själva, låtsades vara jag och öppnade ett riktigt ärende där de påstod att jag hade förlorat min telefon och behövde uppdatera mitt nummer. Det genererade ett riktigt ärende-ID och utlöste riktiga Apple-e-postmeddelanden till min inkorg, korrekt signerade, från Apples faktiska servrar. Dessa var legitima; inget filter på jorden skulle ha kunnat fånga dem. Sedan ringde "Alexander från Apple Support". Han var lugn, kunnig och försiktig. Hans första drag var solid säkerhetsrådgivning: kontrollera ditt konto, verifiera att inget har förändrats, överväg att uppdatera ditt lösenord. Han var så bra att jag faktiskt tackade honom för att han var utmärkt på sitt jobb. Det var förstås då han gick in i nästa fas av attacken. Det som gör denna attack så elak är att delar av den är faktiska e-postmeddelanden från Apple. Och eftersom angriparna är de som öppnade supportärendet, när de ringde Mullenweg, visste de ärende-ID:t från de legitima e-postmeddelandena som skickades av Apple. En av de ledtrådar som gjorde Mullenweg uppmärksam på att detta var ett bedrägeri var att han visste att han inte hade initierat något av det, så hans vakt var uppe från början. En annan är att bedragaren skickade honom ett meddelande med en länk som pekade på domänen "audit-apple.com" (vilken domän nu är nedlagd). Det domännamnet ser uppenbart falskt ut för mig. Men för de flesta? De flesta har ingen aning om att whatever-apple.com är helt annorlunda än whatever.apple.com.