Dva e-maily od „Apple“ v jeden deň: jeden pravý, druhý podvod. Ako ich rozlíšiť?

Pätnásteho septembra prišli na jednu z našich schránok dva e-maily, oba v mene Apple. Jeden žiadal odsúhlasiť nové podmienky Apple Business Manager. Druhý oznamoval, že sa spracúva žiadosť o zrušenie účtu iCloud, a ponúkal tlačidlo na jej zastavenie. Jeden bol pravý, druhý podvod. Na tomto reálnom prípade ukážeme, ako sa to dá spoľahlivo rozlíšiť, aj keď oba na prvý pohľad vyzerajú profesionálne.

E-mail číslo 1: nové podmienky Apple Business Manager

Predmet správy znel „Review and agree to updated Terms & Conditions by September 29“. Text vysvetľoval, čo sa v podmienkach zmenilo, a odkazoval na prihlásenie do Apple Business Manager. Žiadne strašenie, žiadne heslo, len informácia a termín.

Čo sme overili:

• Adresa odosielateľa: no_reply@insideapple.apple.com. Doména za zavináčom končí na apple.com, čo je skutočná doména Apple.
• Overenie odosielajúceho servera (SPF): správa prešla a prišla z IP adresy patriacej Apple (rozsah 17.0.0.0/8 patrí Apple už desaťročia).
• Odkazy v správe: všetky viedli na business.apple.com, support.apple.com a apple.com. Žiadne sledovacie odkazy, žiadne cudzie domény.
• Obsah: konkrétny, vecný, popisuje zmeny v prílohách podmienok a odkazuje na článok podpory. Nič nepýta, len informuje.

Verdikt: pravý e-mail. Apple Business Manager naozaj v septembri 2026 aktualizoval podmienky a správcovia ich musia do 29. septembra odsúhlasiť, inak organizácia stratí prístup k službe.

E-mail číslo 2: „žiadosť o zrušenie iCloudu“

Predmet: „Your iCloud+ Cancellation Request Ref:20260915 Status: OPEN“. Správa tvrdila, že Apple prijal žiadosť o deaktiváciu účtu iCloud vrátane e-mailovej adresy a fakturačných údajov. Ak ste ju nepodali vy, máte ju „okamžite zrušiť“ tlačidlom Cancel Request. Pod textom sa dokonca hýbal ukazovateľ priebehu s nápisom „Cancellation request is currently in progress“.

Na prvý pohľad pôsobí dôveryhodne. Má logo, pätičku s adresou Apple Park, odkazy na Apple ID a podporu. Pri bližšom pohľade sa však rozpadne:

• Adresa odosielateľa: zobrazené meno „iCloudTeam“, ale skutočná adresa je storagebackupnotificationsystem@fotografica.nl. Holandská doména fotografickej firmy nemá s Apple nič spoločné. Toto je najjasnejší znak podvodu.
• SPF aj DKIM prešli. To mnohých prekvapí. Overenie prešlo preto, že správa naozaj odišla zo servera Google Workspace, ktorý má doména fotografica.nl povolený. Podvodník s najväčšou pravdepodobnosťou získal prístup k účtu tejto firmy a rozposiela z neho podvody. SPF a DKIM potvrdzujú, že správu poslala doména fotografica.nl. Nepotvrdzujú, že ju poslal Apple.
• Tlačidlo Cancel Request neviedlo na apple.com. Odkaz išiel cez sledovaciu službu track.pstmrk.it a ďalej cez presmerovanie na doméne inej cudzej firmy. Takéto reťazenie má skryť skutočný cieľ pred filtrami. Keď sme odkaz preverili v izolovanom prostredí, cieľ už bol vypnutý, podvodné stránky žijú často len pár hodín.
• Ostatné odkazy v pätičke (Apple ID, iCloud Support, Terms and Conditions) neviedli nikam. Boli to prázdne odkazy len na okrasu.
• Copyright © 2022 Apple Inc. v pätičke správy z roku 2026. Šablónu niekto skopíroval pred rokmi a odvtedy ju nemenil.
• Nezmyselný scenár. Účet iCloud sa nedá zrušiť „žiadosťou“, ktorú by ste zastavili jedným kliknutím v e-maile. Apple nič také neposiela.
• Neosobné oslovenie a tlak na čas. Správa neobsahuje meno, iba e-mailovú adresu, a nabáda konať „okamžite“.

Verdikt: phishing. Po kliknutí na tlačidlo by nasledovala falošná prihlasovacia stránka Apple a po zadaní Apple ID a hesla by mal útočník prístup k fotkám, zálohám, kontaktom a často aj k platobným údajom a funkcii Nájsť.

Rýchle porovnanie

Prečo overenie SPF a DKIM nestačí

Toto je dôležitá lekcia z tohto prípadu. Mnohé návody radia „pozrite si, či prešiel SPF a DKIM“. To je správne, ale len ako prvý krok. Tieto kontroly hovoria, či správu poslal server, ktorý má doména odosielateľa povolený. Ak podvodník píše z ukradnutého firemného účtu alebo z vlastnej domény, kontroly prejdú bez problémov.

Preto sa vždy pýtajte: z akej domény správa prišla a je to doména firmy, ktorá sa mi prihovára? Apple píše len z domén končiacich na apple.com. Banka píše z domény banky. Ak sa zobrazené meno a doména nezhodujú, správa je podvod bez ohľadu na to, čo hovoria SPF a DKIM.

Ako si e-mail overiť sami, krok za krokom

1. Otvorte celú adresu odosielateľa. V Gmaile ťuknite na meno odosielateľa, v Outlooku a Apple Mail na meno alebo šípku pri ňom. Pozerajte na doménu za zavináčom, nie na meno pred ním.
2. Nechajte si ukázať cieľ odkazu bez kliknutia. Na počítači podržte kurzor nad tlačidlom, adresa sa ukáže v rohu prehliadača alebo poštového programu. Na iPhone a iPade tlačidlo podržte prstom.
3. Skontrolujte hlavičky. V Gmaile „Zobraziť originál“, v Outlooku „Zobraziť zdroj správy“. Hľadajte riadky Received-SPF, DKIM-Signature a Return-Path a doménu v nich.
4. Overte scenár mimo e-mailu. Máte pochybnosť, či sa niečo deje s vaším účtom? Ručne napíšte do prehliadača appleid.apple.com alebo otvorte Nastavenia na zariadení. Nikdy nie cez odkaz v správe.
5. Použite náš nástroj. Celý zdroj správy môžete vložiť do detektora podvodných e-mailov, ktorý beží len vo vašom prehliadači a upozorní na typické znaky phishingu.

Podrobný postup s obrázkami máme v článku ako overiť podozrivý e-mail.

Čo robiť, ak ste už klikli

• Nič ste nezadali: stránku zavrite, správu označte ako spam a zmažte. Nič sa nestalo.
• Zadali ste Apple ID a heslo: okamžite zmeňte heslo na appleid.apple.com alebo v Nastaveniach, v zozname zariadení odhláste všetky, ktoré nepoznáte, a zapnite dvojfaktorové overenie. Ak rovnaké heslo používate inde, zmeňte ho aj tam.
• Zadali ste platobnú kartu: volajte banke a kartu zablokujte, sledujte pohyby na účte.
• Nahláste to Apple: preposlite správu ako prílohu na reportphishing@apple.com.

Čo s tým pravým e-mailom

Ak spravujete zariadenia firmy alebo školy cez Apple Business Manager alebo Apple School Manager, na výzvu k novým podmienkam reagujte. Nie cez tlačidlo v správe, ale prihlásením na business.apple.com, ktoré si napíšete ručne. Ak Apple súhlas naozaj vyžaduje, výzva sa zobrazí hneď po prihlásení. Po termíne bez súhlasu organizácia stráca prístup k správe zariadení a nákupu licencií.

Práve toto je najlepšie pravidlo pre všetky správy, ktoré vás k niečomu vyzývajú: na výzvu reagujte, ale cestou, ktorú si zvolíte sami, nie cez odkaz, ktorý vám niekto poslal.

Viac o podobných útokoch nájdete v článkoch phishing a podvodné e-maily, sociálne inžinierstvo a podvody s AI a ako sa chrániť, keď vám hacknú účet.

Záver

Dva e-maily v mene Apple, rovnaký deň, rovnaký profesionálny vzhľad. Rozdiel bol v detailoch: doména odosielateľa, kam vedú odkazy a či správa informuje, alebo straší. Pravý e-mail prišiel z apple.com a odkazoval na apple.com. Podvod prišiel z cudzej domény, prešiel technickými kontrolami a tlačidlom vás hnal na falošnú stránku. Skontrolujte doménu, skontrolujte odkaz a pri pochybnostiach sa prihláste ručne. Tieto tri kroky zastavia väčšinu phishingu.

Tento článok je súčasťou prehľadu Kybernetická bezpečnosť.