En uno de los últimos ataques al iPhone, partes maliciosas abusan del sistema de restablecimiento de contraseña de ID de Apple para inundar a los usuarios con mensajes de iOS para recuperar sus cuentas. Aquí le mostramos cómo protegerse contra ataques de restablecimiento de contraseña de iPhone (a menudo llamados «bombardeo MFA»).

Recientemente hemos oído hablar de usuarios de Apple que han sido objeto de bombardeos MFA (también conocidos como fatiga MFA o bombardeos de empuje). Este no es un ataque nuevo, pero puede ser una estafa convincente porque envía a las víctimas mensajes oficiales para restablecer la contraseña de iOS.

Como lo detalla Krebs sobre la seguridad (a través de Parthe Patel), los atacantes que abusan de esta vulnerabilidad parecen hacerlo a través del número de teléfono de un usuario de Apple, que puede bombardear su iPhone y otros dispositivos Apple con más de 100 mensajes MFA (autenticación multifactor) para restablecer la contraseña y pasar su ID de Apple.

Cómo protegerse contra ataques de restablecimiento de contraseña de iPhone

1. Declive, declive, declive
   • Dado que las solicitudes de restablecimiento de contraseña son una alerta a nivel del sistema, esto parece convincente, pero asegúrese de elegir «No permitir» para todos
   • Los atacantes agotan a sus víctimas bombardeándolas con cientos de mensajes, a veces durante varios días; sigan eligiendo. «No permitir» y opcionalmente utilice el paso 3 a continuación
   • Nota: Si ve un mensaje de restablecimiento de contraseña en la web que puede ser otra estafa de phishing, cerrar la pagina porque cualquiera de los botones podría conducir a un enlace malicioso
2. No contestes llamadas telefónicas – incluso si el identificador de llamadas dice «Soporte Apple» o similar
   • Los atacantes utilizan la suplantación de llamadas, lo que puede hacer que el número entrante aparezca como el número de teléfono oficial de soporte técnico de Apple y pueden verificar información personal, haciendo que la estafa parezca legítima.
   • Luego intentan obtener una contraseña de un solo uso para hacerse cargo de su cuenta de Apple.
   • En caso de duda, rechace la llamada y llame nuevamente a Apple (800.275.2273 en EE. UU.). La suplantación de llamadas no debería poder interceptar su llamada saliente al Apple real.
   • Apple lo destaca No lo hará llamadas salientes “a menos que el cliente solicite ser contactado” y usted debe nunca compartas códigos de un solo uso con nadie
3. Cambia temporalmente tu número de teléfono asociado con su ID de Apple
   • Si continúa recibiendo mensajes, cambiar su número de teléfono vinculado a su ID de Apple debería detenerlos.
   • Sin embargo, tenga en cuenta interferirá con iMessage y FaceTime

Mas detalles

Como se muestra en Krebs sobre la seguridad artículo, parece que hay un problema de limitación de velocidad con el sistema de restablecimiento de contraseña de ID de Apple.

¿Qué sistema de autenticación sensato enviaría docenas de solicitudes de cambio de contraseña en cuestión de momentos, cuando las primeras solicitudes ni siquiera fueron procesadas por el usuario? ¿Podría ser esto el resultado de un error en los sistemas de Apple?

Con suerte, Apple está trabajando en una solución para que partes malintencionadas no puedan abusar de este sistema. Pero desafortunadamente, la estafa de restablecimiento de contraseña salió a la luz gracias a usuarios durante al menos dos años (probablemente más).

Una víctima reciente dijo que un ingeniero senior de Apple le aconsejó habilitar la función de clave de recuperación para su ID de Apple para detener las notificaciones de restablecimiento de contraseña. Sin embargo, tras pruebas adicionales, resultó que este no era el caso y la clave de recuperación de Apple verificada por Krebs en Seguridad no impide que se solicite restablecer la contraseña.

Relacionado:

Imágenes de 9to5Mac