近年來,隨着人們越來越多地使用移動設備進行支付、購物、溝通等日常活動,針對手機號碼的短訊釣魚(smishing)攻擊日益猖獗。
蘋果 iMessage 會自動禁用來自未知發件人(電子郵件地址或電話號碼)消息中的鏈接,以保護用戶免受此類攻擊。
不過該媒體觀測到,針對蘋果用戶的短訊釣魚攻擊激增,這些攻擊試圖誘騙用戶回復短訊,從而重新啟用鏈接。
攻擊者偽造快遞問題和未付道路通行費等短訊,蘋果用戶收到這些信息后,雖然 iMessage 自動禁用了其中的鏈接,但這些釣魚短訊要求用戶回復「Y」來啟用鏈接,並指示用戶退出短訊,重新打開激活鏈接,或將鏈接複製到 Safari 瀏覽器打開。
由於用戶習慣於輸入「STOP」、「Yes」或「NO」來確認預約或選擇退出短訊,攻擊者希望利用這種熟悉的操作誘導收件人回復短訊並啟用鏈接。
回復短訊不僅會重新啟用鏈接並關閉 iMessage 對該短訊的內置釣魚防護,還會通知攻擊者,便於後續更深入竊取用戶信息、金融資產等等。