Phishingové útoky využívající toho, co se zdá být chybou ve funkci pro resetování hesla, jsou podle zprávy KrebsOnSecurity stále běžnější. Několik uživatelů se stalo cílem útoku, který je bombarduje nekonečným proudem oznámení nebo zpráv s vícefaktorovou autentizací (MFA) ve snaze přimět je ke schválení změny hesla pro Apple ID.



Hacker je schopen způsobit, že cílový iPhone, Apple Watch nebo Mac bude znovu a znovu zobrazovat text o schválení změny hesla s nadějí, že cílová osoba žádost omylem schválí nebo klikne na tlačítku přijmout. Pokud je žádost schválena, hacker může změnit heslo a zablokovat uživateli jeho Apple ID. Protože požadavky na heslo cílí na ‌Apple ID‌, objevují se na všech zařízeních uživatele. Oznámení znemožňují použití všech propojených produktů Apple, dokud nebudou vyskakovací okna na každém zařízení jedno po druhém zavřena. Uživatel Twitteru Parth Patel se nedávno podělil o svou zkušenost a říká, že nemohl používat svá zařízení, dokud neklikl na „Nepovolit“ pro více než 100 upozornění.

Když se hackerům nepodaří přimět osobu, aby v oznámení o změně hesla klikla na „Povolit“, cíle často dostávají telefonní hovory, které vypadají, že přicházejí od společnosti Apple. Při těchto hovorech hacker tvrdí, že ví, že je oběť napadena, a pokouší se získat jednorázové heslo, které je zasláno na telefonní číslo uživatele při pokusu o změnu hesla. V Patelově případě útočník používal informace uniklé z webové stránky pro vyhledávání lidí, která obsahovala jméno, současnou adresu, minulou adresu a telefonní číslo, což dalo osobě pokoušející se získat přístup k jeho účtu dostatek informací, se kterými mohl pracovat. Zdá se, že útok závisí na tom, zda pachatel má přístup k e-mailové adrese a telefonnímu číslu spojenému s ‌Apple ID‌.

KrebsOnSecurity problém prozkoumal a zjistil, že útočníci zřejmě používají stránku Apple k zapomenutému heslu ‌pro Apple ID‌. Tato stránka vyžaduje e-mail nebo telefonní číslo uživatele ‌Apple ID‌ a má CAPTCHA. Po zadání e-mailové adresy se na stránce zobrazí poslední dvě číslice telefonního čísla spojeného s účtem Apple a vyplnění chybějících číslic a stisknutí Odeslat odešle systémové upozornění. Není jasné, jak hackeři zneužívají systém k odesílání více zpráv uživatelům, ale zdá se, že jde o chybu, která je zneužívána. Je nepravděpodobné, že by systém Apple měl být použit k odeslání více než 100 požadavků, takže se pravděpodobně obchází limit. Mějte na paměti, že je u všech požadavků nutné klepnout na „Nepovolit“ a měli byste si být vědomi také toho, že Apple netelefonuje s žádostí o jednorázové kódy pro resetování hesla.