Nach Angaben von Apple handelt es sich bei den Threat Notifications nicht um allgemeine Warnmeldungen, sondern um Hinweise auf mutmaßliche, individuell ausgerichtete Angriffe mit Söldner-Spyware. Das Unternehmen schreibt, solche Attacken kosteten Millionen Dollar, seien oft nur kurz einsetzbar und deshalb deutlich schwerer zu erkennen und zu verhindern. Die große Mehrheit der Nutzer werde niemals Ziel solcher Angriffe.
Apple ordnet einzelne Warnungen weder einem bestimmten Staat noch einem Unternehmen oder einer geografischen Region zu. Für die Erkennung stützt sich der Konzern auf eigene Bedrohungsinformationen und Untersuchungen. Deshalb seien die Benachrichtigungen „Warnungen mit hoher Zuverlässigkeit“ und keine gewöhnlichen Hinweise. Apple formuliert dazu, man könne zwar niemals absolute Gewissheit erreichen, die Threat Notifications seien aber Warnungen mit hoher Zuverlässigkeit, dass ein Nutzer individuell Ziel eines Söldner-Spyware-Angriffs geworden sei und sehr ernst genommen werden sollten.
Zugleich erklärt Apple, keine Details dazu offenzulegen, was genau eine solche Benachrichtigung auslöst. Diese Informationen könnten Angreifern mit Söldner-Spyware helfen, ihr Verhalten anzupassen und eine spätere Erkennung zu umgehen.
Wird entsprechende Aktivität erkannt, verschickt Apple eine E-Mail sowie eine iMessage an die mit dem Apple Account verknüpften E-Mail-Adressen und Telefonnummern. Die E-Mails stammen laut Apple in der Regel von threat-notifications@email.apple.com. Das Unternehmen warnt außerdem vor gefälschten Versionen dieser Hinweise.
Echte Benachrichtigungen lassen sich laut Apple daran erkennen, dass das Unternehmen nicht dazu auffordert, auf einen Link zu klicken, eine Datei zu öffnen, eine App oder ein Profil zu installieren oder das Passwort beziehungsweise einen Bestätigungscode für den Apple Account anzugeben. Zusätzlich können Nutzer den Hinweis direkt über account.apple.com prüfen: Wenn Apple eine Threat Notification verschickt hat, erscheint sie nach dem Einloggen oben auf der Seite.
Wer annimmt, betroffen zu sein, sollte nach Apples Empfehlung den Sperrmodus aktivieren und einen Cybersicherheitsexperten kontaktieren. Der Konzern begründet die Dringlichkeit damit, dass der Erhalt einer solchen Nachricht bedeute, dass Apple mit hoher Zuverlässigkeit davon ausgehe, dass der Nutzer individuell ins Visier genommen wurde.
BleepingComputer hat Apple um eine Stellungnahme zu den aktuellen Threat Notifications gebeten, zum Zeitpunkt der Veröffentlichung lag jedoch keine Antwort vor.