Phishing par callback abusant des notifications légitimes Apple Account

📰 Source : BleepingComputer | Date de publication : 19 avril 2026

Une campagne de phishing par callback exploite une fonctionnalité légitime des notifications de modification de compte Apple ID pour distribuer des leurres frauduleux via l’infrastructure officielle d’Apple.

🎯 Mécanisme d’attaque

L’attaquant crée un compte Apple ID et insère le message de phishing dans les champs nom et prénom du profil (le message étant réparti sur les deux champs). Il modifie ensuite les informations de livraison du compte, ce qui déclenche l’envoi automatique par Apple d’une alerte de sécurité incluant les champs nom/prénom fournis par l’utilisateur — et donc le message frauduleux.

Le leurre prétend qu’un achat d’iPhone à 899 USD via PayPal a été effectué, et invite la victime à appeler un numéro de téléphone (18023530761) pour annuler la transaction.

✅ Authentification email contournée

L’email est envoyé depuis appleid@id.apple.com et passe les contrôles :

• SPF : pass (IP 17.111.110.47, appartenant à Apple)
• DKIM : pass (header.d=id.apple.com)
• DMARC : pass

Le serveur d’origine est rn2-txn-msbadger01107.apple.com, relayé via outbound.mr.icloud.com. L’email n’est pas spoofé.

📧 Distribution à grande échelle

L’analyse des en-têtes révèle que le destinataire original diffère de l’adresse de livraison finale, indiquant l’utilisation probable d’une liste de diffusion pour cibler de multiples victimes. L’adresse iCloud de l’attaquant (hxfedna24005@icloud.com) est incluse dans la notification, renforçant la crédibilité du scénario de compromission.

📞 Objectif du callback phishing

Lorsque la victime appelle le numéro, les escrocs tentent de :

• Convaincre la victime que son compte est compromis
• Faire installer un logiciel d’accès à distance
• Obtenir des informations financières
• Voler des fonds, déployer des malwares ou exfiltrer des données

🔗 Contexte

Cette technique est similaire à une campagne précédente abusant des invitations iCloud Calendar. BleepingComputer a confirmé la reproductibilité de l’attaque et a contacté Apple sans obtenir de réponse. L’abus reste possible au moment de la publication.

📌 Type d’article : Analyse technique d’une campagne de phishing active, visant à documenter le mécanisme d’exploitation d’une fonctionnalité légitime Apple pour contourner les filtres anti-spam.

🧠 TTPs et IOCs détectés

TTP

• T1566 — Phishing (Initial Access)
• T1598.003 — Phishing for Information: Spearphishing Link (Reconnaissance)
• T1585.001 — Establish Accounts: Social Media Accounts (Resource Development)
• T1656 — Impersonation (Defense Evasion)
• T1204.001 — User Execution: Malicious Link (Execution)
• T1219 — Remote Access Software (Command and Control)

IOC

• IPv4 : 17.111.110.47 — AbuseIPDB · VT · ThreatFox
• Emails : hxfedna24005@icloud.com

🟡 Indice de vérification factuelle : 56/100 (moyenne)

• ✅ bleepingcomputer.com — source reconnue (liste interne) (20pts)
• ✅ 4635 chars — texte complet (15pts)
• ✅ 2 IOC(s) (6pts)
• ⬜ 0/1 IOCs confirmés externellement (0pts)
• ✅ 6 TTPs MITRE identifiées (15pts)
• ⬜ date RSS ou approximée (0pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.bleepingcomputer.com/news/security/apple-account-change-alerts-abused-to-send-phishing-emails/

🖴 Archive : https://web.archive.org/web/20260420060327/https://www.bleepingcomputer.com/news/security/apple-account-change-alerts-abused-to-send-phishing-emails/