新たに発見されたフィッシング・アズ・ア・サービス(PhaaS)プラットフォーム「AnonyMousKIT」は、盗まれたApple端末のロック解除やアクティベーションロック機能の無効化に使われるコードの取得を自動化しています。
この違法サービスは2024年初頭から稼働しており、盗難iPhoneの販売、Apple IDの収集、iCloudバックアップやキーチェーン認証情報へのアクセスを行う組織的なエコシステムの基盤となっています。
脅威インテリジェンスプラットフォームのSOCRadarの研究者らは、プラットフォーム運営者が裸の相対パスを使用していたことを利用し、このサービスの仕組み、運営者、インフラに関する情報を収集しました。
SOCRadarの調査によると、AnonyMousKITは506個のドメインと関連付けられており、リセラーとして機能する168のストアフロントブランドを抱える大規模なビジネスを支えています。
研究者らは、2025年8月から2026年5月の間に被害者へかけられた200件の通話記録を回収しました。これらは5つの人格を使い分ける音声AIエージェントによって処理された55種類の通話記録に基づいています。
SOCRadarによると、これらの通話にかかるコストは運営者にとって1回あたり約0.10ドルで、通話の90%はブラジル向けに行われていたとのことです。
.jpg)
ロック解除コードの取得手口
Appleのアクティベーションロック機能は、位置情報追跡サービス「Find My」が有効になっていると自動的に作動し、iPhone端末を所有者のApple Accountに紐付けます。
盗まれた端末が工場出荷時の状態にリセットされても、元の所有者のアカウントとの紐付けは残ったままとなり、初回セットアップ時には有効な認証コードが必要になります。
この保護機能があるため、盗難iPhoneの多くは部品取り用として売却されています。しかし、ロック解除が可能であれば端末の価値は大きく高まり、さらに所有者の機密データも回収できる場合には、その価値は一段と上がります。
AnonyMousKITは、Lost Mode機能を通じて登録された所有者の連絡先情報など、盗難端末から情報を取得し、それを使ってメール、SMS、WhatsApp、あるいは電話で所有者に接触します。
フィッシングメッセージはAppleを装い、行方不明になっていた端末が発見されたと主張します。その際、正しい機種名やIMEI情報を記載することで、メールに信憑性を持たせています。
このメールから被害者は偽の「Find My」またはApple風のページへ誘導され、端末のパスコード、Apple Accountの認証情報、二要素認証コードの入力を求められます。
SOCRadarが調査した事例の中には、「Alice from Apple Support」を名乗るAIエージェントが、端末のロック解除を試みた何者かがそれをApple Storeに持ち込んだため、店舗側で端末を保管していると被害者に伝えるケースもありました。
続いてAIエージェントは、パスコードを口頭で伝えることで所有権を確認するよう被害者に求め、その後フィッシングページへと誘導します。
脅威アクターはこれらのコードを入手すると、被害者の個人データにアクセスし、端末を工場出荷時の状態にリセットしたうえで「Find My」アプリから除外し、転売できる状態にします。
侵害されたApple IDによって、個人所有あるいは勤務先支給のApple端末に保存されているiCloudバックアップ、キーチェーンのパスワード、業務用メール、その他の企業情報が流出する可能性があると、SOCRadarは警告しています。
研究者らは、このプラットフォームから送信されたメールのうち一部が、政府機関や企業組織にも送られていたことを確認しました。
SOCRadarの報告によると、AnonyMousKITによって展開されたキャンペーンは世界規模に及んでいるものの、特に南アフリカ、インドネシア、イタリア、インド、ケニア、ブラジルに集中していたとのことです。
