Des alertes de double authentification bien réelles, un dossier ouvert auprès d’Apple et un site baptisé appeal-apple.com composent une arnaque au faux support. Le piège ne casse pas la sécurité: il pousse la victime à valider elle-même la mauvaise page.
Le faux Genius Bar décroche
Le 19 novembre 2025le cas d’Eric Moret montre comment une histoire frauduleuse peut prendre l’apparence d’une procédure Apple cohérente. Tout commence par une série de notifications de double authentification sur son iPhoneson iPad et son Mac. La répétition des demandes donne l’impression qu’un pirate tente de prendre le contrôle de son Apple Account.
Un appel automatisé attribué à Apple suit rapidement et lit un autre code de vérification. Puis un numéro d’Atlanta appelle. L’interlocuteur se présente comme un technicien Apple et annonce qu’un second représentant va prendre le relais. Le ton reste calme, sans menace ni urgence criée. C’est précisément ce qui rend la scène crédible.
Quelques minutes plus tard, un véritable courriel Apple confirme l’ouverture d’un dossier d’assistance correspondant au récit des interlocuteurs. Les fraudeurs ont déclenché eux-mêmes une procédure auprès d’Apple, puis utilisent les messages réels du service pour construire une histoire fausse. La notification est authentique. Le scénario, lui, est monté de toutes pièces.
La distinction compte: une alerte Apple prouve qu’une demande d’authentification a été déclenchée, pas que la personne au téléphone travaille pour Apple. Confondre les deux, c’est laisser le jardin clos avec la porte grande ouverte.
Le jardin clos laisse passer le loup
La suite du piège repose sur une action parfaitement normale. Le faux support guide Eric Moret dans la réinitialisation de son mot de passe depuis les réglages de son appareil. Il saisit lui-même le nouveau mot de passe et ne communique aucun code à ce stade. La manipulation se déroule dans les menus officiels d’Apple, ce qui renforce la confiance.
Le prétendu technicien annonce ensuite l’arrivée d’un SMS destiné à fermer le dossier. Le message contient un lien vers appeal-apple.comun domaine qui n’est pas celui d’Apple. Le site dispose pourtant d’un certificat valide, accepte le véritable numéro de dossier et affiche des statuts rassurants. Le cadenas du navigateur est bien là. Il ne garantit absolument pas que le portail appartient à Apple.
La page finit par demander un code à six chiffres. Au même instant, un vrai SMS de vérification Apple arrive sur l’appareil. Pour la victime, toutes les pièces du puzzle semblent s’emboîter. Le code est saisi sur le faux site. Quelques secondes plus tard, un courriel signale une connexion sur un Mac mini inconnu.
Le fraudeur affirme que cette connexion est prévue. C’est le moment où le scénario se fissure. Eric Moret raccroche, modifie encore son mot de passe depuis les réglages et supprime le Mac mini de la liste de ses appareils. Le site frauduleux finit ensuite par rediriger vers Googlesigne d’une vitrine montée pour une opération ponctuelle. Ça sentait le piège, mais seulement après la connexion.
Le cadenas 2FA ne lit pas le scénario
La double authentification reste utile, mais elle ne peut pas deviner qui tient le téléphone. Elle bloque un accès lorsque l’attaquant ne possède pas le second facteur. Dans ce cas précis, le fraudeur pousse la victime à utiliser elle-même ce facteur sur une page contrôlée par le fraudeur. Le système fonctionne, mais la validation arrive au mauvais endroit.
Le dossier d’assistance donne aussi aux escrocs un décor difficile à contester. Le support Apple aide à récupérer un compte, mais l’existence d’un dossier ne prouve pas l’identité de la personne qui intervient ensuite par téléphone. Les fraudeurs n’ont donc pas besoin de fabriquer un faux courriel convaincant: le vrai message fait le travail à leur place.
Le calme de l’interlocuteur complète la mise en scène. Les arnaques téléphoniques agressives sont faciles à repérer. Celle-ci prend le ton d’une procédure administrative, avec un numéro de dossier, des étapes familières et des notifications qui arrivent au bon moment. Le code est authentique, le dossier est réel, mais l’interlocuteur reste invérifié.
Réglages contre appels piégés
Face à une alerte inattendue, il faut sortir du scénario imposé par l’appelant. La procédure tient en quelques réflexes:
- Raccrochez. Un appel reçu spontanément ne devient pas fiable parce qu’il correspond à une notification affichée sur vos appareils.
- Ouvrez vous-même l’application Apple Support ou accédez au site officiel en saisissant son adresse manuellement. Ne passez pas par le lien reçu par SMS.
- Consultez la liste des appareils connectés depuis les réglages de votre iPhoneiPad ou Mac. Un appareil inconnu doit être retiré après la sécurisation du compte.
- Changez le mot de passe depuis les réglages officiels si vous avez suivi une instruction téléphonique douteuse. Si vous avez entré un code sur un site suspect, modifiez-le à nouveau et vérifiez immédiatement les connexions récentes.
- Gardez chaque code de vérification pour vous. Apple peut envoyer le code, mais ce code n’a pas à être transmis à un prétendu technicien.
Le nom de domaine demande une vraie lecture, pas un coup d’oeil au cadenas. Dans appeal-apple.comle domaine n’est pas apple.com. Une adresse comme apple.com.exemple.net ne mène pas au domaine Apple non plus. Une connexion chiffrée protège le trajet des données: elle ne transforme pas un site frauduleux en service Apple.
Une alerte réelle mérite une vérification, pas une obéissance. On ferme la page, on coupe l’appel et on reprend la main depuis les réglages. Le prochain support crédible sera celui que l’on aura contacté soi-même.
Sources et références scientifiques
- Andrew Orr. An ingenious Apple Service hoax is convincing users their account is under attack. 2025.
- An ingenious Apple Service hoax is convincing users their account is under attack.
