iTunes-gebruikers opnieuw slachtoffer van phishing

Voor de tweede keer in twee maanden tijd zijn iTunes-gebruikers het slachtoffer geworden van phishing, waarbij gebruikers gelokt worden naar een ogenschijnlijk originele site en daar gevraagd wordt hun NAW- en betaalgegevens in te voeren. Scammers zijn erin geslaagd om door middel van ongeautoriseerde aankopen in de iTunes Store gebruikers duizenden euro’s afhandig te maken. In de meeste gevallen gaat het om gebruikers die hun iTunes Store-account aan hun PayPal-account gekoppeld hebben. Aanvankelijk dacht men dat het om een beveiligingslek in iTunes ging, maar bronnen rond Apple beweren dat dat niet het geval is.

Eén van de slachtoffers verklaart tegenover TechCrunch hoe zijn account voor meer dan 4.700 dollar aan aankopen werd gecrediteerd. Het zou gaan om bijna vijftig aankopen van de iPhone-game ‘CastleCraft, Dragon Crystals (10000 Pack)’ à $99,99 per stuk, die inmiddels uit de iTunes Store is verwijderd. De beveiligingsafdeling van PayPal liet hem weten dat een ‘groot aantal’ iTunes-accounts was getroffen. Omdat hij erop tijd bij was, wist hij in samenwerking met PayPal de aankopen terug te draaien voordat zijn bank de verschuldigde bedragen had afgeschreven.

Anderen hadden minder geluk en zitten nu met een lege bankrekening of PayPal-account:

Someone hacked my iTunes/paypal acct and drained everything from my bank account. Life is kicking me in the balls while I’m down.

Darn…what a day! Someone hacked into my itunes account and bought a crap load of downloads and emptied out my paypal account….grrrrr. . . . Paypal is very cooperative but there is just about no way to get ahold of itunes. I did call paypal and they assured me that they had contacted itunes and it was going to be taken care of in my favor.

so apple/itunes had a security breach & someone bought over $500 worth of music through my paypal account. just what i wanted 2 b dealing w/ while in San Diego! AWESOME!!!

Everybody watch your itunes account closely. I just got hacked for almost $1000.00 worth of software, videos and music. Hopefully paypal will refund it all. . . . This happened within the last few hours. Once transaction after another.

Uit publieke statusupdates op Facebook en Twitter blijkt dat er nog veel meer mensen getroffen zijn door de scammers. De bedragen lopen uiteen van enkele honderden tot enkele duizenden dollars. Ook gaat het niet alleen om software. Met de getroffen accounts zijn ook video’s, tv-series, films en muziek gekocht.

Begin juli werden iTunes-gebruikers ook al slachtoffer van soortgelijke praktijken. Toen slaagde een ontwikkelaar van boekapplicaties voor de iPhone erin om de App Store-ranglijst met kunstmatige aankopen te manipuleren. Apple liet later in een verklaring weten dat slechts vierhonderd van de ruim honderdvijftig miljoen iTunes-gebruikers slachtoffer van deze frauduleuze praktijken was geworden.

Om herhaling te voorkomen besloot Apple om de beveiligingsmaatregelen rond credit card-aankopen te verscherpen. Zo moeten gebruikers vaker hun CCV-nummer invoeren (het driecijferige nummer dat op de achterkant van de kaart staat). Het is een extra maatregel om te verifiëren dat de creditcard in handen is van de verkoper, aangezien Apple de CCV-code niet op de server vastlegt.

Voor PayPal-aankopen, evenals Click & Buy, hebben deze maatregelen echter geen nut, omdat het account gekoppeld is aan de dienst en de aankoop automatisch wordt afgehandeld. Kort na het voorval in juli plaatste Apple een vacature (zie update) voor een ‘iTunes Fraud Prevention Specialist’ op zijn website. Inmiddels is deze vacature van de website verdwenen. Of dit betekent dat de vacature inmiddels is vervuld, is niet duidelijk.

Lees ook: Apple ID: de complete uitleg. Hoe je het phishingfilter gebruikt lees je hier: Phishingfilter op iPhone en iPad gebruiken.