黑客正滥用 iCloud 日历邀请功能，以苹果邮件服务器名义发送伪装成购买通知的回电钓鱼邮件。由于这类邮件直接发自苹果官方服务器，因此更有可能绕过垃圾邮件过滤器，直接进入目标用户的收件箱。
钓鱼邮件伪装成 PayPal 支付通知
本月初，一苹果用户在社交媒体上分享了一封可疑邮件：该邮件声称收件人的 PayPal 账户被扣除 599 美元，并提供了一个电话号码，称若需讨论付款事宜或进行修改可拨打联系。
邮件内容写道：" 您好，客户。您的 PayPal 账户已被扣费 599.00 美元。我们特此确认已收到您最近的付款。" 后续补充道：" 如您希望讨论或修改此笔付款，请拨打 +1 ( 786 ) 902-8579 联系我们的支持团队。如需取消，请拨打 +1 ( 786 ) 902-8579。"
这类邮件的目的是欺骗收件人，使其误以为自己的 PayPal 账户遭盗用并被恶意扣费，进而恐吓收件人拨打骗子的 " 支持 " 电话。一旦拨通，骗子会进一步谎称收件人账户已被盗，或声称需要远程连接电脑协助办理退款，诱骗用户下载并运行恶意软件。
而在以往的类似骗局中，这种远程访问权限常被用于窃取银行账户资金、植入恶意软件或盗取电脑中的数据。
滥用 iCloud 日历邀请的技术细节
该邮件的诱饵内容虽属典型的回电钓鱼骗局，但异常之处在于其发件地址为 "noreply@email.apple.com"，且通过了 SPF、DMARC 和 DKIM 三项邮件安全验证——这意味着邮件确实发自苹果的官方服务器。
邮件验证结果显示：
Authentication-Results: spf=pass ( sender IP is 17.23.6.69 )
smtp.mailfrom=email.apple.com; dkim=pass ( signature was verified )
header.d=email.apple.com;dmarc=pass action=none header.from=email.apple.com;
从这封钓鱼邮件来看，它本质上是一封 iCloud 日历邀请：攻击者将钓鱼文本写入 " 备注 " 字段，然后向自己控制的一个 Microsoft 365 邮箱地址发送邀请。
当用户创建 iCloud 日历活动并邀请外部人员时，苹果服务器会以 "noreply@email.apple.com" 为发件地址，以 iCloud 日历所有者的名义从 email.apple.com 发送邮件邀请。
文章举例获取的这封邮件中，邀请对象是一个 Microsoft 365 账户 "Billing3@WilliamerDickinsonerLTD.onmicrosoft.com"。与此前利用 PayPal" 新地址 " 功能的钓鱼活动类似，这个被邀请的 Microsoft 365 邮箱实际是一个邮件列表——它会自动将收到的所有邮件转发给列表中的所有成员，而这些成员正是钓鱼骗局的目标。
通常情况下，若邮件最初发自苹果服务器，经 Microsoft 365 转发后会无法通过 SPF 验证。为避免这一问题，Microsoft 365 会使用 " 发件人重写方案（SRS）" 将 " 回复路径 " 重写为微软关联地址，从而使其通过 SPF 验证。例如：
原始回复路径：noreply@email.apple.com
重写后回复路径：bounces+SRS=8a6ka=3I@williamerdickinsonerltd.onmicrosoft.com
风险提示与平台回应
尽管这封钓鱼邮件的诱饵内容并无特别之处，但攻击者通过滥用 iCloud 日历邀请这一合法功能，并借助苹果邮件服务器及官方邮箱地址，为邮件增添了可信度，且因其发自可信来源，有可能绕过垃圾邮件过滤器。
若用户收到意外的日历邀请，且其中包含可疑信息，请务必保持警惕。截至目前苹果公司尚未就此事进行回复。
