iPhone 18 Pro, oltre 700 addebiti fraudolenti a Hong Kong: Apple blocca gli ordini sospetti

🛡️ Executive Summary

• La polizia di Hong Kong ha ricevuto oltre 700 segnalazioni per acquisti iPhone non autorizzati, per circa 1,62 milioni di euro complessivi.
• Apple sta riesaminando gli ordini prima dell’elaborazione e dichiara di voler identificare e cancellare rapidamente quelli fraudolenti.
• Non risulta finora dimostrata una violazione dei sistemi Apple: origine dei dati delle carte e meccanismo della frode restano da accertare.

Una concentrazione anomala di acquisti fraudolenti di iPhone 18 Pro ha colpito Hong Kong proprio nelle ore di apertura dei preordini. La polizia locale ha ricevuto oltre 700 segnalazioni relative a transazioni con carte di credito non autorizzate, per un valore complessivo di 14,7 milioni di dollari di Hong Kong, circa 1,62 milioni di euro al cambio attuale. Apple ha reagito sottoponendo gli ordini in corso a controlli supplementari e promettendo la cancellazione delle operazioni sospette. Un parlamentare locale attribuisce alla società una responsabilità diretta, ma al momento non è stata dimostrata né una compromissione dell’Apple Store né una fuga di dati proveniente da Apple. È proprio questa distinzione a rendere il caso più interessante della semplice cronaca di una frode.

Oltre 700 carte utilizzate per acquistare i nuovi iPhone

Il fenomeno è emerso durante il fine settimana successivo all’apertura dei preordini della nuova gamma iPhone 18 Pro. Secondo le informazioni raccolte dal South China Morning Post, numerosi utenti di Hong Kong hanno segnalato addebiti mai autorizzati legati ad acquisti dei nuovi smartphone Apple. Le carte coinvolte risultano emesse da istituti differenti, un elemento che rende meno immediata l’ipotesi di una compromissione circoscritta a una singola banca. La polizia ha quantificato finora il fenomeno in più di 700 denunce e 14,7 milioni di HKD di transazioni, mentre Apple ha dichiarato che tutti gli ordini correnti vengono riesaminati prima della lavorazione. Un portavoce della società ha spiegato che Cupertino sta cercando di individuare e annullare rapidamente eventuali ordini fraudolenti. Il momento scelto dagli attaccanti non è irrilevante: la corsa ai preordini di un prodotto appena lanciato genera improvvisamente un numero enorme di transazioni ad alto valore, riducendo la capacità di distinguere immediatamente un ordine anomalo da un acquisto autentico. I preordini di iPhone 18 Pro erano stati fissati proprio per il 12 settembre, trasformando l’apertura commerciale in una finestra ideale per utilizzare rapidamente dati di pagamento precedentemente sottratti.

Il parlamentare Johnny Ng accusa Apple ma manca ancora il passaggio tecnico decisivo

Il deputato del Legislative Council Johnny Ng Kit-chong ha sostenuto che Apple dovrebbe assumersi la responsabilità finale delle perdite, definendo raro un incidente di questa portata su una piattaforma gestita da una società delle dimensioni di Cupertino. Ng ha avanzato una spiegazione specifica: gli aggressori potrebbero aver raccolto e conservato nel tempo i dati delle carte, aspettando un’occasione particolarmente favorevole per utilizzarli tutti insieme. È un’ipotesi plausibile, ma resta tale. Non dimostra dove siano state ottenute le credenziali di pagamento, né quale controllo sia stato eventualmente superato durante gli acquisti. La distinzione è fondamentale. Se i dati provenissero da precedenti campagne di phishing, malware, merchant compromessi o database trafugati, Apple potrebbe essere semplicemente il commerciante presso il quale viene monetizzato il bottino, non il punto originario della compromissione. Diverso sarebbe il caso in cui emergesse una vulnerabilità nel checkout, nei sistemi antifrode o nelle procedure di autenticazione del negozio Apple. Al momento le informazioni pubbliche non consentono di sostenere questa seconda conclusione. Il fatto che le carte appartengano a istituti diversi può suggerire una raccolta distribuita di credenziali, ma non basta da solo a stabilire il vettore.

Leggi anche: iPhone 18 Pro è arrivato con A20 Pro a 2 nm e nuova fotocamera ad apertura variabile

Hong Kong aveva già lanciato un allarme sulle frodi legate alle carte

Il contesto locale rende il caso ancora più delicato. Il 4 settembre, appena dieci giorni prima delle nuove segnalazioni, la Hong Kong Monetary Authority aveva avvertito banche e cittadini di un aumento delle frodi legate all’associazione non autorizzata delle carte ai servizi di pagamento mobile. Nel modello descritto dall’autorità, i criminali impersonano commercianti o organizzazioni attraverso siti di phishing, messaggi e telefonate, ottengono numeri di carta, PIN o altre credenziali e convincono le vittime ad approvare l’associazione della carta a un dispositivo controllato dall’attaccante. Non esiste però al momento una prova che la frode sugli iPhone utilizzi proprio questo meccanismo. Collegare automaticamente i due episodi sarebbe scorretto. L’allerta HKMA dimostra piuttosto che a Hong Kong esiste già un mercato criminale attivo orientato al furto e alla monetizzazione delle credenziali di pagamento. L’autorità ricorda inoltre che, una volta completata con successo l’associazione di una carta a determinati sistemi contactless, alcune transazioni successive possono non richiedere un ulteriore OTP. La stessa HKMA impone agli emittenti di gestire le transazioni non autorizzate secondo regole precise: il Code of Banking Practice stabilisce che i clienti debbano segnalare gli addebiti contestati entro 60 giorni e prevede, in determinate circostanze, limiti alla responsabilità del titolare. Questo sposta quindi parte dell’analisi anche sulle procedure di autorizzazione e antifrode delle banche, non soltanto sul merchant Apple.

Il vero dato anomalo è la concentrazione degli acquisti su un singolo evento

L’elemento che distingue il caso da una normale sequenza di carte rubate è la concentrazione temporale e merceologica. Centinaia di credenziali risultano utilizzate quasi contemporaneamente per acquistare gli stessi prodotti durante il lancio commerciale più visibile dell’anno per Apple. Se l’ipotesi di Ng fosse corretta, gli attaccanti avrebbero adottato una strategia di accumulo: raccogliere carte nel tempo senza monetizzarle immediatamente e utilizzarle quando diventa disponibile un bene molto costoso, facilmente rivendibile e richiesto sul mercato secondario. Un iPhone 18 Pro possiede esattamente queste caratteristiche. È un bene fisico con elevata liquidità commerciale, valore unitario significativo e domanda particolarmente alta nei giorni immediatamente successivi al lancio. Diversamente da un bonifico verso un conto evidentemente sospetto, un ordine presso Apple appare inoltre come una transazione verso un merchant perfettamente legittimo. È quindi il comportamento complessivo — numero degli ordini, indirizzi di consegna, identità utilizzate, dispositivi, geolocalizzazione, velocità degli acquisti e correlazione fra carte diverse — a dover alimentare i sistemi antifrode.

Qui emerge anche la questione che potrebbe determinare l’eventuale responsabilità operativa di Cupertino. Quanti ordini anomali possono essere effettuati prima che il merchant riconosca un pattern coordinato? Non basta sapere che una carta sia tecnicamente valida. I sistemi antifrode moderni devono riconoscere correlazioni tra transazioni che individualmente potrebbero sembrare lecite. Apple afferma di avere attivato una revisione degli ordini; sarà però importante capire se il controllo sia scattato prima o dopo le contestazioni dei titolari.

Apple Pay non è ancora il colpevole e neppure Apple può essere scagionata in anticipo

La presenza di Apple nella vicenda rischia di produrre due letture ugualmente premature. La prima consiste nell’attribuire automaticamente il furto delle carte ad Apple Pay o ai sistemi Apple. Le informazioni disponibili non lo dimostrano: il caso riguarda ordini Apple effettuati con carte non autorizzate, ma la fonte pubblica non stabilisce che le carte siano state sottratte tramite Apple Pay o che Wallet sia stato compromesso. Apple stessa elenca numerosi istituti di Hong Kong compatibili con il proprio sistema di pagamento, ma questa circostanza non crea un collegamento tecnico con gli acquisti contestati. La lettura opposta sarebbe però altrettanto semplicistica: sostenere che Apple non abbia alcuna responsabilità perché i dati potrebbero essere stati rubati altrove. Un merchant che gestisce prodotti da migliaia di euro conserva comunque un ruolo essenziale nella rilevazione delle transazioni anomale, nella verifica dell’ordine e nell’interruzione della consegna. Proprio il riesame annunciato da Cupertino mostra che il problema non termina con l’autorizzazione bancaria del pagamento.

Continua con:

• iPhone 18 Pro e iPhone Duo: dopo il keynote comincia la prova sul prodotto reale
• Apple Keynote 2026: prezzi e nuovi iPhone trasformano ancora il lancio in un evento commerciale globale

La responsabilità si decide seguendo il percorso della transazione

Il caso di Hong Kong non dimostra per ora un data breach Apple, una falla di Apple Pay o una compromissione dei server di Cupertino. Dimostra qualcosa di diverso e già sufficiente a giustificare un’indagine tecnica: centinaia di carte appartenenti a clienti diversi sono state utilizzate senza autorizzazione nello stesso periodo per acquistare gli stessi nuovi prodotti Apple, generando più di 1,6 milioni di euro di transazioni contestate. Per attribuire responsabilità occorrerà quindi ricostruire l’intera catena: origine delle credenziali, modalità di autenticazione, eventuale utilizzo di wallet digitali, controlli applicati dagli emittenti, sistemi antifrode del merchant, indirizzi di consegna e momento nel quale gli ordini sono stati bloccati. La dichiarazione politica di Johnny Ng individua Apple come responsabile finale, ma la prova tecnica necessaria per arrivare a quella conclusione non è ancora pubblica. La risposta più significativa di Cupertino, per ora, è proprio la sospensione del processo automatico: prima di spedire gli iPhone, Apple vuole sapere chi li abbia realmente comprati.