Angriff auf Apple-Store-Kunden: Bereits bezahlte Bestellungen werden weiterverkauft

Sicherheitsforscher haben im Rahmen der Security-Konferenz Blackhat Asia 2024 auf eine bislang eher unbekannte Masche von Cyberkriminellen aufmerksam gemacht: Diese setzen ihre Phishing-Webseiten auch zum Abgreifen von bereits aufgegebenen Apple-Store-Bestellungen ein, die dann an Dritte weiterverkauft werden.

Im Laufe einer mehrmonatigen Analyse wurden über 5.000 Domains aufgedeckt, mit denen auf Kunden von über 50 Online-Shopping-Portalen gezielt wurde, darunter auch auf Nutzer des Apple Online Stores. Dabei konzentrierten sich die Angriff vorwiegend auf den japanischen Markt.

Die Phishing-Webseiten waren darauf ausgelegt, sowohl an Kreditkarteninformationen als auch an persönliche Daten der Nutzer zu kommen und setzten verschiedene Strategien ein, um dieses Wissen dann zu monetarisieren.

QR-Code zum Abholen

Bei Online-Bestellungen im Apples Online Store sollen es die Angreifer dabei vor allem auf Bestellungen zur Abholung abgesehen haben. Hier seien die Login-Informationen dann dafür genutzt worden, den QR-Code zur Abholung abzugreifen und diesen an interessierte Anwender zu verkaufen, die die betreffenden Produkte dann ihrerseits aus dem Apple Store abgeholt hätten. Die gleiche Taktik kam auch bei Secondhand-Marktplätzen zum Einsatz.

Die Sicherheitsforscher unterstreichen, dass die Angriffe der Gruppe weiterhin andauern und diese kontinuierlich dabei sei, neue Ziele in Erfahrung zu bringen. Daher halte man es für wichtig, Details über die Cyber-Raubzüge zu teilen und über unterschiedliche Bedrohungszenarien zu informieren.

Entsprechend haben die Forscher ihren 50-seitigen Vortrag „Operation PoisonedApple: Tracing Credit Card Information Theft to Payment Fraud“ zum Download bereitgestellt und gehen hier auf die beobachteten Angriffe und die nachträgliche Monetarisierung ein.

• PDF-Download: Operation PoisonedApple

Neben dem Abholen bereits bestellter und bezahlter Waren wurden hier auch betrügerische Rückgaben, sowie der aktive Einsatz gestohlener Kreditkartendaten beobachtet.