Канадский Apple может передавать данные покупателей мошенникам

Или же произошла утечка данных у UPS — транспортного партнера Apple.

В Канаде очень дорогие авиаперелеты по сравнению с США и Европой. Для экономии канадцам приходится пользоваться услугами бюджетных компаний: Flair Airlines, Swoop Airlines, Lynx Air и т.д. Они обычно дешевле, чем монополист Air Canada, но путешественники жалуются на перенос рейсов и потерю багажа.

Моя знакомая из Торонто недавно полетела с семьей в Ванкувер, чтобы покататься на лыжах. Увы, багаж был потерян, а поддержка авиакомпании не приложила никаких усилий для того, чтобы его найти. Но все же история закончилась благополучно, потому что девушка поместила в ботинок Airtag — миниатюрное устройство от Apple, которое может в течение года без смены батарейки передавать местоположение. Знакомая отследила перелет лыж и просто приехала в аэропорт на стойку выдачи багажа, чтобы забрать свою потерю. Причем бюджетная авиакомпания так и не среагировала...

Покупка на сайте Apple

Я тоже решил подготовиться ко внутреннему авиаперелету и заказал непосредственно на сайте Apple 4 Airtag. Система бронирования обещала бесплатную доставку 21 марта с помощью UPS.

Хотите уехать в Канаду? Мы предоставляем поддержку в вопросах иммиграции и помогаем в получении визы. Запишитесь на консультацию, чтобы обсудить вашу ситуацию с нашими лицензированными специалистами и узнать, как мы можем помочь осуществить вашу мечту.

13 марта в 6:03 утра я получил текстовое сообщение на телефон об отправке моего заказа:

Подтверждение Apple от отправке товара

Бесплатная доставка стала платной

В этот же день в 23:24 я получил еще одно сообщение с неизвестного номера о необходимости доплаты за доставку:

Поддельное письмо от UPS

На первый взгляд оно пришло от UPS — ведь Apple говорил, что отправит мой заказ этой транспортной компанией. В нем было указано:

мое полное имя;
индекс доставки;
номер телефона тоже был правильным, иначе я бы не получил это сообщение.

Смутило несколько моментов:

Apple обещал бесплатную доставку, а тут речь про $2.89.
Адрес сайта похож на UPS, но если присмотреться, то сайт странный — com-delivery-payment.info, похоже на скамеров!
Сообщение написано на английском с ошибками.

Я перешел по ссылке с телефона, так как это безопаснее, чем с компьютера, и там показалась следующая страница:

Страница инвойса от UPS

Бесполезная поддержка от Apple

Я уже стал подозревать, что это фишинговый сайт, который маскируется под официальный сайт UPS, и на следующей странице меня попросят заплатить карточкой. А дальше деньги с нее пропадут, и придется потратить много времени на разбирательства с банком. Но все же я решил связаться с поддержкой Apple и уточнить, почему доставка платная. Мне было любезно предложено обратиться в поддержку UPS, что я не стал делать — уже имел опыт ожидания на телефоне...

Опасный эксперимент

Я решил идти дальше и нажать кнопку "Continue". Я оказался не прав: у меня не сразу спросили номер карты, сначала запросили ввести домашний адрес, телефон, email и дату рождения (для доставки!). В общем, практически всю личную информацию.

Конечно, никакие дополнительные ссылки, которые были показаны для маскировки под сайт UPS, не работали.

Я на каждом шаге вводил фейковую информацию, включая номер карты, но сайт меня пропустил и сказал, что инвойс оплачен:

Инвойс успешно оплачен

Забавно, но на следующий день я получил еще одно текстовое сообщение с другого номера телефона. В нем другой сайт UPS, но код "жертвы" такой же:

Еще одно сообщение от UPS

На момент написания этой статьи сайт больше не открывается. Но ссылка из первого хакерского сообщения срабатывает.

Второй шанс для Apple

Я еще раз связался с поддержкой Apple, на этот раз меня не сразу стали отправлять звонить в UPS, но все же не получил никакой помощи:

Служба поддержки Apple

Apple взломали!

Я твердо уверен, что утечка данных у Apple или UPS была и, возможно, есть. Поясню почему:

Оплата была совершена с карты другого человека, где указан другой адрес оплаты, то есть это не утечка из банка.
Хакер знал, что была покупка у Apple, и дата атаки совпала с датой отправки товара.
Мошенник знал, что доставка должна быть UPS и сделал фишинговый сайт под UPS.

Выводы

Увы, атаки хакеров становятся все более хитроумными, и мошенничество распознать тяжело. Даже технологические гиганты уязвимы, и личные данные становятся "общественными".