קיבלתם הודעה מאפל? העוקץ החדש - שמאיים להפיל מיליונים בפח

בימים האחרונים מדווחים גורמי אבטחת מידע על מתקפת סייבר רחבת היקף הפוגעת במיליוני משתמשים ברחבי העולם, ומתמקדת בארנקים דיגיטליים ובחשבונות מקוונים. מומחים מזהירים מפני קמפיין פישינג מתקדם, המבוסס על שילוב של הנדסה חברתית ופעולה מתוזמנת המתרחשת, לראשונה כמעט, במקביל לאינטראקציה של הקורבן עם התוקף - בזמן אמת.

לפי הדיווחים, שלב ההתחלה של ההונאה הוא קבלת הודעת דוא"ל או SMS, הנחזית להיות הודעה רשמית של חברת אפל. ההודעות מעוצבות באופן משכנע במיוחד וכוללות לוגו מדויק, מספרי פנייה וחותמות זמן, לצד אזהרה דחופה על "פעילות חריגה" או עסקה שנחסמה לכאורה בחשבון המשתמש. במסגרת ההודעה נטען כי בוצעו רכישות יקרות של מוצרים כגון מחשבי מקבוק עם שבבי M4 או כרטיסי מתנה, והנמען מתבקש לפעול באופן מיידי כדי למנוע את החיוב.

בשונה מהונאות פישינג מוכרות, שהתבססו בעיקר על קישורים זדוניים לגניבת סיסמאות, הפעם נעשה שימוש בשיטה מתקדמת יותר המכונה Vishing – פישינג קולי. במסגרת השיטה, הקורבן מתבקש להתקשר למספר טלפון שמופיע בהודעה, כביכול לצורך טיפול דחוף בבעיה. בפועל, השיחה מובילה למוקד שירות מזויף המופעל על ידי גורמים עברייניים.

ההונאה מתבצעת תוך כדי שיחה עם הקורבן

האלמנט החדש (והמסוכן) במתקפה, כך לפי חוקרי אבטחה ב-Cybernews ודוח מיוחד שפרסמה חברת Malwarebytes, הוא ביצוע ההשתלטות על החשבון בזמן אמת, בזמן שהקורבן משוחח עם הנוכלים.

עם החיוג, עונים מתחזים המציגים עצמם כנציגי מחלקת "הונאה וחיובים" של אפל. במהלך השיחה, התוקף מזין את פרטי המשתמש באתר הרשמי של החברה, מה שמוביל לשליחת קוד אימות דו-שלבי ישירות למכשיר של הקורבן. בשלב זה, מבקש הנציג המזויף מהמשתמש להקריא את הקוד שהתקבל, בטענה שמדובר בהליך אימות או ביטול העסקה.

בפועל, הקוד מוזן מיידית על ידי התוקף, מה שמאפשר לעקוף את מנגנוני האבטחה, להשתלט על החשבון ולגשת לאמצעי התשלום.

לדברי החוקרים, הצלחת הקמפיין נשענת במידה רבה על מנגנונים פסיכולוגיים: "מתקפות מסוג זה מצליחות בקנה מידה רחב משום שהמותג אפל נהנה מאמון גבוה במיוחד, והמשתמשים רגילים לשתף פעולה עם גורמי תמיכה כאשר הם חשים איום או לחץ".

"התרעות אבטחה של אפל לא פועלות כך"

אפל עצמה מדגישה במסמכי התמיכה הרשמיים שלה כי היא אינה פועלת בשיטות הללו. לפי הנחיות החברה, "התרעות אבטחה של אפל לעולם לא יבקשו מכם ללחוץ על קישורים, למסור סיסמאות או לשתף קודי אימות בדוא"ל או בשיחה טלפונית".

בנוסף, בפורומים הרשמיים של החברה מובהר כי אפל אינה יוזמת פנייה למשתמשים בנוגע לעסקאות חשודות, וכי במקרה כזה הגורם שאמור ליצור קשר הוא הבנק או חברת האשראי המנפיקה את הכרטיס.

מומחי אבטחה מציינים כי הונאות מהסוג הזה מתאפיינות ביצירת תחושת חירום מלאכותית, תוך איום בנעילת החשבון או בביצוע חיובים מיידיים אם לא תתבצע פעולה מהירה.

המומחים ממליצים למשתמשים שקיבלו הודעה חשודה שלא להתקשר למספרים המופיעים בה, אלא להיכנס באופן עצמאי להגדרות החשבון או לאפליקציה הרשמית של אפל, לבדוק את היסטוריית הרכישות, ובמקרה של ספק - להחליף סיסמה באופן מיידי ולוודא שאימות דו-שלבי מופעל.