Apple dendiğinde akla ilk gelen kavram genellikle "sarsılmaz güvenlik" olur. Fakat son günlerde yaşananlar, siber saldırganların en güvenli kaleleri bile içeriden fethedebileceğini gösteriyor. Dijital hırsızlar, kullanıcıları kandırmak için bu kez sahte e-posta adresleri üretmekle uğraşmıyor; doğrudan Apple’ın kendi resmi bildirim sistemini manipüle ederek karşımıza çıkıyor.
Gönderen kısmında gerçek bir Apple alan adı gördüğümüzde hepimiz savunma mekanizmalarımızı ister istemez indiririz. İşte dolandırıcılar tam olarak bu psikolojik boşluktan faydalanarak, güvenlik filtrelerine takılmayan yasal görünümlü e-postalarla banka hesaplarımıza göz dikmiş durumda. Bu yeni saldırı yönteminin merkezinde, Apple kimliği oluşturma sürecindeki şaşırtıcı bir esneklik yer alıyor. Dolandırıcılar yeni bir hesap açarken isim ve soy isim alanlarına kendi adlarını yazmak yerine, uzun oltalama metinlerini sığdırıyor. Ardından bu hesap üzerinde bir bilgi değişikliği yapıldığında, Apple’ın otomatik sistemleri kullanıcıya resmi bir bilgilendirme gönderiyor. Ancak sistem, isim hanesindeki uzun ve tehlikeli mesajı da e-postanın içine dahil edince; resmi sunucudan çıkan, yasal imzalı ama içi zehir dolu bir bildirim kurbanın posta kutusuna düşüyor.
Sahte faturalar ve telefon tuzağı
Saldırıların ana teması genellikle PayPal üzerinden yapılan yüksek tutarlı ve hayali bir iPhone satın alımına dayanıyor. Posta kutusunda 899 dolarlık bir fatura gören kullanıcı, doğal olarak büyük bir panik yaşıyor. Metnin içine ustaca yerleştirilen "siparişi iptal etmek için bu numarayı arayın" ibaresi ise asıl tuzağın kurulduğu yer. Bu numarayı arayan kişiler, karşılarında profesyonel bir müşteri temsilcisi gibi konuşan saldırganları buluyor. Telefonda ikna edilen kurbanlar, ya banka bilgilerini kendi elleriyle teslim ediyor ya da bilgisayarlarına uzaktan erişim izni vererek tüm birikimlerinin dakikalar içinde buharlaşmasına neden oluyor.
Dev markaların isimlerinin bu tip işlere alet edilmesi aslında yeni bir durum değil; geçmişte Google ve Microsoft kullanıcıları da benzer süreçlerden geçti. Geçen yıl iCloud takvimleri üzerinden yapılan saldırılar hala hafızalardayken, şimdi de sistem bildirimlerinin suistimal edilmesiyle karşı karşıyayız. Uzmanlar, e-postanın kaynağı ne kadar güvenilir görünürse görünsün, içinde "acil" koduyla bir telefon numarasını aramanızı isteyen her mesajın aslında bir alarm zili olduğunu hatırlatıyor. Şüpheli bir durumda e-postadaki yönlendirmelere güvenmek yerine, markanın resmi sitesine manuel olarak girip bilgi almak, dijital dünyada hayatta kalmanın en temel kuralı.