iPhoneに本人確認通知を連続送信してApple IDを奪い取る攻撃手法が報告される

iPhoneにApple IDのパスワードリセットを求める通知を連続送信してApple IDを奪い取る攻撃手法の存在が確認されました。攻撃者は「Apple公式サポートを装った電話」も併用しているとのことです。 Recent ‘MFA Bombing’ Attacks Targeting Apple Users – Krebs on Security https://krebsonsecurity.com/2024/03/recent-mfa-bombing-attacks-targeting-apple-users/ Last night, I was targeted for a sophisticated phishing attack on my Apple ID. This was a high effort concentrated attempt at me. Other fo

[fashi]

何度も同じダイアログ出てくると正解じゃない方の選択肢も試してみるかって気持ちになるね

[nezuku]

多要素認証疲労攻撃の一種か 連続しての試行に制限をかけるなど色々対策はありそうだけれども

[sotokichi]

俺なら絶対騙されるやつだ😭

[mugi_sisyou]

メールアドレスがIDなんだから公開したら、こうなるに決まってるだろ。後、サポートがパスワード教えろなんて言わない

[tattyu]

こう言う時Appleは驚く程沈黙を貫くよな。ほんと胸糞悪い。

[osakana110]

よく考えるわ。 騙すことに関しては、攻撃者がプロ。我々は素人であることを自覚しなければならんな。

[petitbang]

Apple IDのパスワードリセットは以前やったときはWebからだとそんなに連続して送れなかったように記憶してるが、他のやり方があるのだろうか。/今試したら連送できそうだった。記憶違いか仕様が変わったのか。

[ka-ka_xyz]

「パスワード再設定ページ側に2桁PINを表示、デバイス側でPIN入力必須」で良いんじゃね感。(PINベースOAuthとかの辺と同じやつ

[lli]

この問題はなかなか対策されないね。

[versatile]

馬鹿みたいだが有効な手段

[mojimojikun]

『パスワードリセットの確認通知を連続で送信できてしまう』のは問題だよなぁ。DoS成立しちゃう。とりあえずリセット通知を飛ばすまでにはメールアドレスや電話番号とかを知られてないと通知は飛ばないのでまぁ……？

[semimaru]

怖いわ

[cinefuk]

パスワードリセット、よくあるパターンでは「同じIPアドレスからの連続リクエストは制限ある」けど、おそらく予め乗っ取った多数のゾンビPC使って逆ブルートフォース攻撃で回避してるのでは。とどめはSocial hackか

[shaokuz]

アカウント奪取できなくても普通に生活に支障が出るレベルの嫌がらせができると思うとなかなか強力な攻撃だよな。普通回数制限とかありそうなもんだけどあったらそれはそれでマズい場面もあるのかね。

[develtaro]

何度か拒否したらロックされるべきだと思うけどされないのか