« Les fans d’Apple submergés par de fausses demandes de réinitialisation de mot de passe. »

Propriétaires d’appareils Apple, considérez-vous mis en garde : une campagne de bombardement ciblé à authentification multi-facteurs est en cours, dans le but d’épuiser les utilisateurs d’iDevices afin de les inciter à accepter une réinitialisation de mot de passe non désirée. D’abord dénoncée sur X/Twitter par l’entrepreneur en intelligence artificielle Parth Patel – et confirmée par le blogueur en sécurité Brian Krebs – la campagne semble viser des individus spécifiques, qui sont submergés par des demandes de réinitialisation de mot de passe. Comme les alertes sont envoyées au niveau du système, Patel a rapporté devoir valider chacune avant de pouvoir utiliser son iPhone, son Apple Watch ou son MacBook. Patel a dû appuyer sur « Ne pas autoriser » sur plus de 100 notifications. Plusieurs de ses amis – et d’autres victimes identifiées par Krebs – ont signalé des volumes similaires. L’attaque est semblable à d’autres attaques de fatigue multi-facteurs qui ont émergé au fil des ans. Elles visent à épuiser les utilisateurs pour qu’ils acceptent par méprise de laisser quelqu’un changer leur mot de passe – ou le faire pour arrêter le déluge. Microsoft a même changé la façon dont ses codes MFA fonctionnent suite à ce type d’abus. Apple n’a pas encore effectué un tel changement. Néanmoins, les attaquants dans ce cas étaient suffisamment sophistiqués pour aller au-delà du simple spam envers leurs victimes.