Die Angriffsmethode ist raffiniert: Cyberkriminelle erstellen ein Apple-ID-Konto und platzieren ihre Phishing-Nachricht in den persönlichen Datenfeldern – konkret in den Vor- und Nachnamensfeldern – des Profils. Da jedes Feld die vollständige Betrugsnachricht nicht aufnehmen kann, verteilt der Angreifer den Text auf beide Felder. Anschließend modifiziert er die Versandinformationen des Kontos, was Apple automatisch dazu veranlasst, eine Sicherheitsmitteilung zu verschicken. Diese Mitteilung enthält die vom Nutzer eingetragenen Felder – und damit die Phishing-Nachricht – und wird als legitime Benachrichtigung von Apple-Servern aus versendet.
BleepingComputer-Forscher konnten diese Technik selbst reproduzieren und bestätigen, dass die Phishing-E-Mail tatsächlich von der Apple-Adresse appleid@id.apple.com stammt und alle Authentizitätschecks erfolgreich passiert. Die E-Mails enthalten die charakteristische Warnung “Dear User 899 USD iPhone Purchase Via Pay-Pal To Cancel 18023530761” zusammen mit einer Telefonnummer des Betrügers.
Besonders tückisch ist die psychologische Komponente: Da die Nachricht von Apples echten Servern kommt und Informationen über vermeintliche Kontoänderungen enthält, wirkt sie maximal glaubwürdig. Viele Nutzer könnten in Panik geraten und reflexartig die angegebene Nummer anrufen. Die Betrüger am anderen Ende behaupten dann, das Konto sei kompromittiert, und bringen ihre Opfer dazu, Fernzugriffssoftware zu installieren oder finanzielle Informationen preiszugeben. Solche Remote-Access-Werkzeuge werden bekanntermaßen zum Diebstahl von Bankkonten, zur Malware-Installation oder zum Datenraub missbraucht.
Das Phishing-Schema ist an sich nicht neu – Kriminelle haben ähnliche Taktiken bereits bei iCloud-Kalender-Einladungen angewendet. Die aktuelle Kampagne zeigt jedoch, wie Angreifer kontinuierlich legitime Plattform-Features zweckentfremden. Header-Analysen deuten darauf hin, dass die E-Mails über eine Verteilerliste an mehrere Ziele verschickt werden.
Apple wurde von BleepingComputer am Freitag benachrichtigt, hat aber bislang nicht reagiert. Der Missbrauch ist nach aktuellem Stand weiterhin möglich. Sicherheitsexperten empfehlen grundsätzlich Vorsicht bei unerwarteten Account-Benachrichtigungen, insbesondere wenn sie zu Anrufen bei Support-Nummern auffordern oder von unbekannten E-Mail-Adressen stammen.