iPhoneに本人確認通知を連続送信してApple IDを奪い取る攻撃手法が報告される

iPhoneにApple IDのパスワードリセットを求める通知を連続送信してApple IDを奪い取る攻撃手法の存在が確認されました。攻撃者は「Apple公式サポートを装った電話」も併用しているとのことです。

Recent ‘MFA Bombing’ Attacks Targeting Apple Users – Krebs on Security
https://krebsonsecurity.com/2024/03/recent-mfa-bombing-attacks-targeting-apple-users/

Apple IDのパスワードを忘れた場合、パスワードの再設定ページからパスワードのリセットを要求することができます。パスワードをリセットするには再設定ページにメールアドレスや電話番号を入力する必要があるほか、使用中のApple製デバイスに送信されるパスワードリセットを求める通知で「許可する」を選択する必要があります。また、当該通知が表示された場合、「許可しない」か「許可する」のいずれかをタップするまで通知は消えず、デバイスを操作できなくなります。

XユーザーのParth氏が投稿した被害報告によると、2024年3月23日の18時36分頃ににParth氏が所持するすべてのApple製デバイスにパスワードリセットの許可を求める通知が100件以上届いたとのこと。「許可しない」をタップしても即座に次の通知が表示されるため、Parth氏はiPhoneやMacBookなどを使えない状態になってしまいました。

さらに、通知が連続送信されてから約15分後にApple公式サポートを名乗る人物から電話がかかってきたとのこと。不審に思ったParth氏が通話相手に対して「Apple公式サポートなら知っているはずのParth氏の個人情報」を言うように求めたところ、通話相手はParth氏の生年月日やメールアドレス、電話番号、住所、過去の住所を正確に言い当てました。

しかし、通話相手はParth氏の名前を「アンソニー」と誤って認識していたとのこと。実はParth氏の個人情報は「People Data Labs」という個人情報提供サービスに「名前や職業が間違った状態」で登録されており、通話相手はPeople Data Labsの情報をもとに誤った名前を答えてしまったというわけです。Parth氏は自らの情報がPeople Data Labsに誤って登録されていることを偶然知っていたため、通話相手がApple公式サポートを装った詐欺師であることに気付くことができました。

通話相手は最終的にワンタイムパスワードを教えるように要求してきたそうですが、詐欺を確信したParth氏は被害を避けることに成功しました。

Parth氏は運よくApple IDの奪取を防ぐことができましたが、「パスワードリセット通知の『許可する』をタップする」「ワンタイムパスワードを教える」のいずれかの対応を取った場合、攻撃者にApple IDを乗っ取られてしまいます。また、Parth氏の事例では攻撃者は「通知の連続送信」と「Apple公式サポートを装った電話」の二段構えで攻撃していましたが、セキュリティ専門家のブライアン・クレブス氏によると「通知の連続送信」だけが実行される事例も報告されているとのこと。

クレブス氏はパスワードリセットの確認通知を連続で送信できてしまうAppleのシステムにも問題があると指摘しています。