Sicherheitsforscher von BleepingComputer haben eine neue Angriffsmethode dokumentiert, bei der Kriminelle legitime Apple-Systembenachrichtigungen als Phishing-Vehikel nutzen. Die Mails stammen technisch tatsächlich von Apple, enthalten aber Betrugsinhalte. Spam-Filter erkennen sie nicht.

Wie der Angriff funktioniert

Der Ablauf ist simpel und schwer zu unterbinden. Die Angreifer legen ein Apple-Konto an und tragen in die Felder für Vor- und Nachname keine echten Namen ein, sondern eine fertig formulierte Betrugswarnung. Typischer Inhalt: ein angeblicher iPhone-Kauf über einen dreistelligen bis vierstelligen Dollar-Betrag, kombiniert mit einer gefälschten Support-Telefonnummer zur angeblichen Stornierung.

Anschließend ändern die Angreifer die Versandinformationen des Kontos. Apple verschickt daraufhin automatisch eine Sicherheitsbenachrichtigung an die hinterlegte E-Mail-Adresse. Da Apple die im Profil gespeicherten Namensfelder in dieser Benachrichtigung abdruckt, landet die Phishing-Botschaft direkt im Text einer echten Apple-Mail.

Die Absenderadresse lautet `appleid@id.apple.com`. Die E-Mail besteht alle gängigen Authentifizierungsprüfungen (SPF, DKIM und DMARC) und stammt nachweislich von Apples eigener Infrastruktur. BleepingComputer hat das Verhalten mit einem Testkonto reproduziert und bestätigt: Die Methode funktioniert und lässt sich nicht durch E-Mail-Authentifizierung erkennen.

Warum das besonders gefährlich ist

Bei klassischen Phishing-Mails gibt es erkennbare Warnsignale: gefälschte Absenderadressen, unbekannte Domains, fehlgeschlagene Sicherheitsprüfungen. Hier fehlen all diese Signale. Die Mail kommt von Apple, sie sieht aus wie eine Apple-Mail, und sie ist eine Apple-Mail.

Wer die gefälschte Telefonnummer anruft, landet bei einem Betrugsanruf. Die Täter versuchen dann, den Angerufenen zur Installation von Fernzugriffssoftware zu bewegen oder direkt Bankdaten abzufragen. In vergleichbaren Callback-Phishing-Kampagnen wurden auf diesem Weg Bankkonten leergeräumt und Malware auf den Geräten der Opfer installiert.

Apple hat sich bislang nicht öffentlich dazu geäußert, ob das Befüllen von Profilfeldern mit beliebigem Text eingeschränkt wird.