Na první pohled běžné upozornění od Applu, na druhý dokonalá past. Uživatelé iPhonů a dalších Apple zařízení se aktuálně potýkají s útoky, které napodobují skutečnou komunikaci společnosti do posledního detailu. Redakce Mobify zaregistrovala, že útočníci zneužívají k okrádání lidí jméno Apple Pay.

Přijde varovná zpráva nebo e-mail s výzvou

Podvod, který aktuálně cílí na uživatele Apple zařízení, obvykle začne e-mailem nebo SMSkou, která informuje o „zablokované transakci“, „podezřelé aktivitě“ nebo naplánované schůzce kvůli bezpečnostnímu problému. Zpráva obsahuje logo Applu, technické detaily, ID případu i časové údaje, varuje Forbes.

Součástí zprávy bývá i telefonní číslo na údajnou podporu společnosti, přičemž uživatele dále vyzývá, aby na něj co nejdříve zavolal. Jenže právě tady se láme chleba. Na druhé straně linky není zaměstnanec Applu, nýbrž podvodník, který se pouze vydává za pracovníka technické nebo bezpečnostní podpory.

Falešná podpora využívá psychologický nátlak

Takzvaný vishing (telefonický podvod, při kterém se útočníci vydávají za důvěryhodné instituce, aby z lidí vylákali citlivé údaje, vysvětluje Wikipedia) funguje hlavně na důvěře. Útočník mluví klidně, používá odborné výrazy a většinou začne nevinnými otázkami, třeba jaké zařízení používáte, jestli máte aktivní Apple Pay nebo kde zrovna jste.

Jakmile si dotyčný získá vaši důvěru, přijde klíčový moment. Domnělý zaměstnanec začně tvrdit, že je nutné ověřit vaši identitu, aby nedošlo k neoprávněné platbě. A oběť má pocit, že spolupracuje na tom, aby jenom ochránila vlastní peníze.

Útočníci s vaší pomocí obejdou zabezpečení Applu

Podvodník následně vyvolá skutečný pokus o přihlášení k Apple ID. Oběť obdrží reálný ověřovací kód od Applu, který patří k 2FA, tedy dvoufaktorovému ověření, přičemž tento kód by měl vždy znát pouze majitel zařízení, vysvětluje Apple. Útočník ale požádá o nadiktování kódu s tím, že je to nutné k potvrzení identity.

Když oběť kód sdělí, útočník získá přístup k účtu. Odtud už je to jen krůček k požadavku na „ověření platební karty“ nebo „zabezpečení Apple Pay“. Ve skutečnosti tím člověk sám předá citlivé finanční údaje někomu, kdo je mít opravdu nemá.

Je třeba pamatovat, že Apple je v tomto ohledu jednoznačný. Nikdy vás nebude žádat o heslo, ověřovací kód ani údaje o kartě po telefonu, e-mailem nebo SMS. Stejně tak nechce, aby lidé volali na číslo uvedené v nevyžádané zprávě. Jakmile se něco takového objeví, nejde o podporu, ale o útok. Nikdy proto nevolejte, cokoli si ověřte u Applu.

Útoky přes Apple Pay zahrnují zprávu o podezřelé platbě, rádoby profesionální e-mail a telefonát s „technikem“, který moc dobře ví, co říká. Redakce Mobify zjistila, že lidé tak přichází o přístup ke svému Apple ID, případně i o peníze. Je třeba ale říct, že samotná služba Apple Pay je v tom nevinně. Jde o její jméno, které útočníci zneužívají k extrémně realistickému podvodu.

Oběť zavolá sama, když dostane naléhavé varování

Útok skrz Apple Pay zpravidla začne e-mailem, který se tváří jako oficiální oznámení o platbě nebo pokusu o nákup. Grafika, logo i struktura odpovídají skutečné komunikaci Applu, nechybí ani razítko, identifikační číslo případu a konkrétní částka. Často jde o vysoké sumy, aby člověk podlehl stresu, upozornil CyberPress.

Zpráva tvrdí, že byla pozastavena platba přes Apple Pay, případně že je nutné ji ověřit. Podstatná je přidaná výzva, aby dotyčný zavolal na uvedené telefonní číslo, údajnou zákaznickou linku Applu. Dovolá se však do falešného call centra. Podvodník na druhé straně zní jako profík. Obvykle řekne, že došlo k pokusu o zneužití Apple Pay v kamenném obchodě nebo účet vykazuje podezřelou aktivitu.

Pak přijde chvíle, kdy podvodník vyvolá skutečný pokus o přihlášení k Apple ID oběti, což je onen bod zlomu. Ta následně obdrží reálný ověřovací kód od Applu formou SMS nebo notifikace. Útočník ji proto požádá, aby kód nadiktovala, údajně kvůli potvrzení identity, varuje samotný Apple. Ve skutečnosti tím oběť sama otevře dveře ke svému účtu.

Co dělat v případě, že jste se sami stali obětí

Pokud se s podobnou situací setkáte, hovor okamžitě ukončete. Nikdy nesdělujte ověřovací kódy ani hesla. Jestliže už jste údaje poskytli, ihned změňte heslo k Apple ID, odhlaste všechna zařízení a kontaktujte svou banku kvůli případné reklamaci plateb.