Camille Dupont - Facture de renouvellement Apple TV 99,00 EUR

Verdict

Phishing de haute confiance usurpant Apple, avec page de capture hébergée sur un bucket Amazon S3 public et expéditeur lié à un domaine tiers (jobfinder.fr, probablement compromis ou usurpé). Aucun contact avec l'infrastructure Apple réelle ne doit être considéré comme légitime ; bloquer les IOC et purger le message.

Vecteur d’attaque

Phishing par usurpation de marque (Apple) avec faux récapitulatif de facturation. Le nom d'affichage « Support AppIe » (le « I » majuscule remplace le « l » minuscule, homoglyphe) imite Apple. Le message annonce la fin d'une période d'essai de 3 mois et un prélèvement de 99,00 EUR pour un abonnement annuel Apple TV, afin de créer un sentiment d'urgence et inciter la victime à cliquer sur les liens « Signaler un problème », « Annuler l'abonnement » ou sur la référence de facture. Ces liens pointent vers un fichier HTML hébergé sur un bucket Amazon S3 public, qui sert de page de capture (identifiants Apple ID ou données de paiement). Le contenu n'est pas un élément d'authentification réel : le texte est formaté pour ressembler à une facture Apple (N° de commande, N° de document, N° de séquence, ventilation HT/TVA).

Infrastructure

Domaine d'expédition : jobfinder.fr, site francophone d'offres d'emploi sans lien connu avec Apple. Il s'agit probablement d'un domaine légitime compromis (serveur de messagerie ou compte détourné) ou d'un usage d'usurpation d'expéditeur, à confirmer avec les en-têtes d'origine. Hébergement de la charge : bucket Amazon S3 nommé « new-realtraker » dans la région us-east-1, avec un objet aléatoire « x1ms9yzo.html ». Les buckets S3 à hébergement statique sont fréquemment détournés pour héberger des pages de phishing, car l'infrastructure est légitime (*.amazonaws.com) et contourne les filtres basés sur la réputation de domaine. Le nom « realtraker » ne correspond à aucune marque Apple. Le TLD .fr n'est pas suspect en soi, mais le domaine d'expédition est sans rapport avec la marque usurpée.

Signaux techniques

• Nom d'affichage « Apple » avec homoglyphe « AppIe » (I majuscule au lieu de l minuscule)
• Expéditeur Apple présenté avec un domaine non Apple (jobfinder.fr, site d'emploi)
• Lien de phishing hébergé sur bucket S3 public avec nom de fichier aléatoire et non lié à Apple
• Nom de bucket « new-realtraker » sans rapport avec la marque usurpée
• Prétexte de prélèvement immédiat et d'abonnement non sollicité pour créer l'urgence
• Plusieurs liens identiques (signaler un problème, annuler l'abonnement, référence de facture) pointant vers la même page, typique d'une page de capture unique
• Absence de nom de client exploitable (champs remplacés), personnalisation générique
• Mise en forme de facture copiée d'Apple pour imiter un document officiel
• Contenu envoyé en réexpédition sans en-têtes d'authentification d'origine exploitables

Expéditeur et authentification

Adresse expéditrice

noreply@jobfinder[.]fr

Domaine expéditeur

jobfinder[.]fr

Domaine principal des liens

new-realtraker[.]s3[.]us-east-1[.]amazonaws[.]com

SPF

réussi (pass)

DKIM

réussi (pass)

DMARC

réussi (pass)

Non disponible (message transféré). Les résultats SPF, DKIM et DMARC de l'expéditeur d'origine ne peuvent pas être déterminés à partir de ce signalement. À vérifier sur le message source d'origine (en-têtes Authentication-Results côté serveur de réception) : un SPF ou DMARC en échec pour jobfinder.fr indiquerait une usurpation d'expéditeur, tandis qu'un succès indiquerait une compromission du domaine ou d'un compte légitime.

Indicateurs de compromission

Neutralisés (hxxp, [.]) pour éviter tout clic accidentel.

• Domaine expéditeur : jobfinder[.]fr
• Adresse expéditeur : noreply@jobfinder[.]fr
• Nom d'affichage : « Support AppIe » (homoglyphe)
• URL : https://new-realtraker[.]s3[.]us-east-1[.]amazonaws[.]com/x1ms9yzo[.]html
• Domaine : new-realtraker[.]s3[.]us-east-1[.]amazonaws[.]com
• Hébergeur : Amazon Web Services S3 (us-east-1)
• Numéro de commande présenté : MNY5K1Y512
• Numéro de document présenté : 856059240987
• Numéro de séquence présenté : 1-12521472708
• Montant leurre : 99,00 EUR (82,50 HT + 16,50 TVA 20 %)
• Objet : « Facture de renouvellement Apple TV 99,00 EUR »
• hxxps://new-realtraker[.]s3[.]us-east-1[.]amazonaws[.]com/x1ms9yzo[.]html

Réputation des liens

• URLhaus : aucune menace connue
• AlienVault OTX : aucun indicateur connu

Recommandations techniques

1) Bloquer le lien https://new-realtraker.s3.us-east-1.amazonaws.com/x1ms9yzo.html et, à défaut, le motif new-realtraker.s3.us-east-1.amazonaws.com au proxy et au DNS. 2) Signaler le bucket S3 à AWS Trust & Safety (abuse@amazonaws.com) pour suspension. 3) Signaler le domaine jobfinder.fr à son administrateur et à Cybermalveillance / CERT-FR si la compromission est confirmée. 4) Rechercher dans les journaux de messagerie et de proxy toute interaction avec les IOC (destinataires, clics, requêtes vers le bucket). 5) Ajouter une règle de détection sur les noms d'affichage contenant « Apple » provenant de domaines non Apple, et une détection des homoglyphes (I/l) dans les noms d'affichage. 6) Pour les utilisateurs ayant cliqué : réinitialiser le mot de passe Apple ID, révoquer les sessions actives, activer ou vérifier l'authentification à deux facteurs et surveiller les achats et abonnements App Store. 7) Retirer le message des boîtes de réception déjà distribuées (purge ou quarantaine).