Arriva un'email da Apple, ma è un tentativo di truffa

Alcuni utenti hanno ricevuto un’email da Apple che segnala modifiche all’account. Nel messaggio viene citato anche l’acquisto di un’iPhone. Per cancellare l’ordine è necessario contattare l’azienda di Cupertino. Si tratta di un tentativo di truffa da parte di ignoti cybercriminali che vogliono rubare dati sensibili.

Email che sembra autentica

Quando l’utente effettua cambiamenti all’account, Apple invia una notifica via email. Alcuni utenti ha ricevuto l’avviso il 14 aprile dal mittente appleid@id.apple.com. Questo indirizzo è legittimo, ma l’email non è stata inviata da Apple. Nel messaggio è scritto che le informazioni dell’account sono state aggiornate e che risulta l’acquisto di un’iPhone con PayPal (899 dollari).

Questa tecnica di phishing non è nuova (con una veloce ricerca online si scoprono simili email inviate da parecchi anni), ma è stata migliorata nel tempo. I cybercriminali sono riusciti a superare i controlli di sicurezza SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) e DMARC (Domain-based Message Authentication, Reporting & Conformance) usati per prevenire spoofing e spam.

Dall’analisi delle intestazioni dell’email risulta che il messaggio è stato inviato dalle infrastrutture di Apple, quindi non c’è stato nessun spoofing. I cybercriminali hanno usato un “trucco” molto semplice e ingegnoso, abusando di una funzionalità implementata dall’azienda di Cupertino.

Hanno creato un account Apple e inserito il messaggio di phishing nei campi relativi a nome e cognome. In questo caso, il nome era “User 899 USD iPhone Purchase Via“, mentre il cognome era “Pay-Pal To Cancel 18023530761“. I cybercriminali hanno quindi cambiato l’indirizzo di spedizione dell’account. Ciò ha causato l’invio dell’avviso di modifica, in cui sono presenti nome e cognome, quindi il risultato finale è “Dear User 899 USD iPhone Purchase Via Pay-Pal To Cancel 18023530761“.

L’email è stata prima inviata ad un indirizzo iCloud e successivamente inoltrata alla potenziale vittima. L’intestazione dell’email mostra che il destinatario originale differisce dall’indirizzo di consegna finale. Ciò indica che è stata utilizzata una mailing list per distribuire le email a più destinatari.

Bleeping Computer ha contattato Apple, ma non ha ricevuto nessuna risposta. Gli utenti non devono mai chiamare il numero di telefono indicato nell’email. Lo scopo dei cybercriminali è rubare dati sensibili (personali e bancari), installare un tool di accesso remoto e distribuire malware.