Los propios correos de seguridad de Apple convertidos en armas de phishing

Imagina abrir tu bandeja de entrada y encontrar un correo de seguridad de Apple con apariencia legítima, advirtiéndote sobre una sospechosa compra de un iPhone por $899 a través de PayPal. El mensaje es alarmante - y realmente proviene de los servidores de Apple. Pero al seguir leyendo, notas que algo no cuadra: el correo te insta a llamar a un número para cancelar la transacción. Bienvenido a la última vuelta de tuerca del phishing - donde los criminales usan el propio sistema de notificaciones de Apple para entregar sus estafas.

Datos clave

• Los atacantes abusan de las alertas de cambio de cuenta de Apple para enviar mensajes de phishing desde los servidores oficiales de Apple.
• Los mensajes de phishing se insertan en los campos de “nombre” y “apellido” de las cuentas Apple ID.
• Las víctimas reciben correos que pasan todas las comprobaciones estándar de autenticidad (SPF, DKIM, DMARC).
• Los estafadores usan notificaciones de compras falsas para asustar a los usuarios y hacer que llamen a un número de soporte fraudulento.
• Apple aún no ha respondido a los reportes sobre este abuso en curso.

Anatomía de una alerta engañosa de Apple

Esta nueva campaña de phishing explota un truco sutil pero poderoso: utilizar el legítimo sistema de notificaciones de cambio de cuenta de Apple como vehículo de entrega. Así es como funciona. El atacante crea un Apple ID y luego rellena los campos de “nombre” y “apellido” con fragmentos de un mensaje de phishing - como cada campo tiene un límite de caracteres, el mensaje se divide entre ambos. Después, el estafador modifica la información de envío de la cuenta, lo que provoca que Apple envíe un correo de alerta de seguridad a la dirección registrada en la cuenta.

Pero aquí está el truco: el sistema de Apple inserta automáticamente los campos de nombre proporcionados por el usuario en el cuerpo de estas alertas. Eso significa que el mensaje de phishing - haciéndose pasar por una compra falsa de iPhone por $899 e incluyendo un número de devolución de llamada - llega como parte de un correo genuino de Apple, con todas las firmas de autenticación esperadas.

Como el correo es técnicamente auténtico, pasa fácilmente los filtros de spam y las puertas de seguridad. El atacante luego distribuye este correo a sus objetivos - a veces usando listas de correo - haciendo que parezca que la propia cuenta del destinatario ha sido comprometida. La inclusión de la dirección de iCloud del atacante en la alerta añade confusión, sugiriendo un acceso no autorizado.

Las víctimas que llaman al número proporcionado conectan directamente con los estafadores, quienes pueden solicitar acceso remoto al dispositivo de la víctima o pedir datos financieros bajo el pretexto de “resolver” la compra fraudulenta. En campañas anteriores, estas tácticas han llevado al robo de fondos, instalación de malware y un mayor compromiso de la identidad.

No es la primera vez que se abusa de la infraestructura de Apple: ataques similares han aprovechado las invitaciones de iCloud Calendar para enviar notificaciones de estafa. ¿La lección? Incluso los sistemas más confiables pueden ser convertidos en armas por actores de amenazas creativos.

Cómo mantenerse seguro

Sé siempre escéptico ante alertas de cuenta inesperadas - especialmente aquellas que urgen a actuar de inmediato o proporcionan números de contacto desconocidos. Las empresas legítimas rara vez te piden que las llames en respuesta a notificaciones de compras. En caso de duda, accede directamente a tu cuenta de Apple a través del sitio web o la app oficial, y nunca compartas credenciales ni concedas acceso remoto a llamadas no solicitadas.

A medida que los atacantes encuentran nuevas formas de explotar plataformas confiables, la vigilancia y la conciencia siguen siendo tu mejor defensa.

WIKICROOK

• Phishing: El phishing es un delito informático en el que los atacantes envían mensajes falsos para engañar a los usuarios y hacer que revelen datos sensibles o hagan clic en enlaces maliciosos.
• SPF (Sender Policy Framework): Un método de autenticación de correo electrónico que verifica si un servidor de correo está autorizado para enviar mensajes en nombre de un dominio específico.
• DKIM (DomainKeys Identified Mail): DKIM es un sistema de seguridad de correo electrónico que utiliza firmas digitales para demostrar que los correos son auténticos y no han sido alterados, ayudando a prevenir suplantaciones.
• DMARC (Domain: DMARC es una política de seguridad de correo electrónico que indica a los servidores cómo manejar mensajes que no superan las comprobaciones SPF o DKIM, ayudando a prevenir correos suplantados.
• Software de acceso remoto: El software de acceso remoto permite a los usuarios controlar computadoras a distancia, brindando comodidad pero requiriendo una fuerte seguridad para evitar accesos no autorizados.