Prenez garde si vous recevez d'incessantes demandes de réinitialisation du mot de passe de votre identifiant Apple, c'est peut-être une tentative de phishing !
Une nouvelle méthode de phishing sur les appareils Apple
Certains utilisateurs d'appareils Apple semblent victimes d'une nouvelle méthode de phishing (ou hameçonnage en VF) sous la forme de nombreuses demandes de réinitialisation du mot de passe de leur identifiant Apple. Comme le souligne Path Patel auprès de KrebsonSecurity, cette nouvelle technique de phishing est aussi agaçante qu'inédite, et pourrait même s'avérer efficace si vous n'y prenez pas garde.
L'attaque consiste à faire crouler un utilisateur sous les demandes de réinitialisation de mot de passe, afin que ce dernier craque. Cette méthode peut s'avérer infernale car la notification va alors s'afficher simultanément sur tous les périphériques liés à cet identifiant, comme un iPhone, un iPad, un Mac et une Apple Watch. De plus, il faut impérativement refuser la demande pour retirer la notification, et même faire défiler cette dernière sur l'Apple Watch pour voir s'afficher l'option adéquate (seule l'option Autoriser s'affiche dans un premier temps, comme vous pouvez le voir sur mon Apple Watch Ultra ci-dessous).
Pour initier la notification, les esprits malveillant n'ont qu'à connaître le mail et le numéro de téléphone liés à un identifiant Apple et se rendre à cette adresse (par exemple en récupérant des données issues d'une fuite ou d'un piratage. Ces données restent assez simples à dénicher). Comme il s'agit d'une fonction officielle visant à réinitialiser le mot de passe d'un compte, ce dernier n'est évidemment pas requis.
Une méthode usante
Cette frénésie de demandes de réinitialisation est suivie d'un coup de fil semblant réellement provenir d'un numéro de téléphone officiel de Cupertino (ce n'est évidement pas le cas) afin de vous soutirer un code à usage unique tout en vous appâtant avec des données exactes sur votre compte (dans l'exemple de Path Patel, le soit-disant conseiller ne connaissait pas son nom exact, ce qui lui a mis la puce à l'oreille, tout comme la demande du code qu'aucun conseiller d'Apple ne formulera). Une fois ce code en main, l'esprit malveillant sera en mesure de changer le mot de passe de votre compte, et donc de vous empêcher de vous y connecter, tout en ayant le pouvoir de vous demander une rançon pour le récupérer, ou même de le supprimer.
Afin de réduire l'agaçante profusion de notifications, Apple pourrait peut-être instaurer une limite de ces demandes dans le temps (à moins que les attaquants parviennent à contourner une éventuelle limite imposée par Cupertino). Pour rappel, les attaques malveillantes exploitant les failles de sécurité étant de plus en plus nombreuses sur Mac, consultez notre dossier sur les antivirus Mac pour protéger au mieux votre ordinateur.
