ИБ-специалисты компании SOCRadar изучили фишинговую платформу AnonyMousKIT, которая помогает преступникам снимать блокировку активации (Activation Lock) с украденных устройств Apple. Для этого сервис использует фишинговые страницы и голосовых ИИ-агентов, которые звонят владельцам гаджетов, представляясь сотрудниками поддержки Apple, и выманивают код для разблокировки устройства, учетные данные Apple ID и коды двухфакторной аутентификации.
AnonyMousKIT работает по схеме PhaaS (phishing-as-a-service) и активен как минимум с начала 2024 года. Его клиентам доступны подписки, пакеты кредитов, техническая поддержка и несколько каналов связи с жертвами: через email, SMS, WhatsApp, записанные звонки и разговоры с ИИ-агентами.
Исследователи связали активность AnonyMousKIT с 506 доменами, 188 из которых оставались действующими на момент проведения анализа. Кроме того, были обнаружены 168 отдельных реселлеров, через которые предлагался доступ к сервису и услуги по разблокировке украденных iPhone.
AnonyMousKIT ориентирован на владельцев недавно потерянных или украденных iPhone. Атакующие извлекают с таких устройств контактные данные, оставленные в Lost Mode, а также информацию о модели, IMEI и статусе Find My. После этого злоумышленники присылают жертве сообщение якобы от сотрудников Apple, в котором утверждается, что пропавший смартфон нашли.
Ссылка в сообщении ведет на поддельную страницу Find My или Apple, где отображается даже карта с местоположением устройства. У пользователя просят четырех- или шестизначный код разблокировки, учетные данные Apple ID, а затем актуальный код двухфакторной аутентификации.
Но отдельного внимания заслуживают голосовые ИИ-агенты AnonyMousKIT. Экспертам удалось получить доступ к данным аккаунта оператора AnonyMousKIT на коммерческой платформе Vapi, и они обнаружили информацию о 200 звонках, сделанных с 31 августа 2025 года по 30 мая 2026 года. Для звонков использовались 55 различных сценариев и ИИ-агентов, которые представлялись жертвам как «Элис из поддержки Apple» (Alice from Apple Support) на английском, испанском и португальском языках.
179 из 200 звонков пришлись на Бразилию, а их общая стоимость составила всего 19,24 доллара США (около 9,6 цента за одну попытку).
В одном из сценариев ИИ сообщал жертве, что кто-то принес ее iPhone в Apple Store и попытался снять блокировку активации. Затем бот просил пользователя подтвердить право собственности и продиктовать код разблокировки, а также перейти на фишинговую страницу.
При этом исследователи не приводят данных о том, какой процент таких атак был успешен. Известно лишь, что в 100 случаях жертвы положили трубку, еще 48 вызовов автоматически завершились из-за молчания на другом конце провода, 24 остались без ответа, а остальные 28 закончились ошибкой платформы или сигналом «занято».
Узнав необходимые коды, преступники получают возможность сбросить устройство до заводских настроек, отвязать его от Find My и перепродать. Также исследователи отмечают, что компрометация Apple ID может привести к более серьезным последствиям, так как это откроет атакующим доступ к резервным копиям iCloud, паролям из Keychain, рабочей почте и другим корпоративным данным.
По данным SOCRadar, инфраструктура AnonyMousKIT применяется по всему миру, но особенно активно платформу используют против пользователей в Южной Африке, Индонезии, Италии, Индии, Кении и Бразилии.
