フィッシング・アズ・ア・サービス(PhaaS)プラットフォーム「AnonyMousKIT」が、盗難iPhoneのアクティベーションロックを解除するために必要なApple IDの認証情報の窃取を自動化していることが、SOCRadarの調査で判明しました。
「相対パスをそのまま使用するという重大な欠陥を突いた調査により、2024年初頭から活動している506ドメイン、168の店舗ブランドから成るリセラー供給網が明らかになりました。『Apple Support』を装う高度なAIを活用していたにもかかわらず、基本的なコーディングミスによって本番環境のログや運用担当者の名簿が露呈していました」と研究者らは記しています。
研究者らは、被害者に電話で接触するために使われた音声エージェントから、200件の通話ログと55件の通話記録を復元しました。200件の通話のうち179件がブラジル向けで、通話にかかった費用は合計19.24ドルでした。
このプラットフォームには、英語・スペイン語・ブラジルポルトガル語で設定された5つの音声エージェントの人格が用意されていました。そのうち3つは「Alice Dias, Apple Support」という名前を使用していました。
iOS 7で導入されたApple社のアクティベーションロックは、「探す」機能がオンになった瞬間からiPhoneを所有者のApple IDに紐付けます。工場出荷時リセットを行った後でも、端末はそのアカウントにロックされたままとなり、再設定するには有効なログインが必要です。この保護機能があるため、所有者の認証情報を入手できない限り、盗難iPhoneは部品としてしか売れません。
SOCRadarはこの隙間を突いて生まれたものを、「盗難端末を金銭化するために設計された、特化型の従量課金制フィッシングプラットフォーム」と呼んでいます。これは、自力でアクティベーションロックを回避する技術を持たない窃盗犯が、代わりに他者の認証情報窃取サービスに対価を支払う仕組みとして構築されています。
盗難iPhoneの所有者を狙うフィッシング
加入者が盗難端末のシリアル番号またはIMEIを入力すると、プラットフォームは機種情報と「探す」機能のリアルタイムのステータスを取得します。そして、盗難端末に紐付いた情報を使い、メール、SMS、WhatsApp、録音済みの通話、あるいは音声エージェントを通じて所有者に接触します。
AnonyMousKITの攻撃ライフサイクル(出典:SOCRadar)
「標的の対象は、最近Apple端末を紛失・盗難された被害者に絞られています。捜索が続いている最中に接触することで、実際の状況と正確なハードウェア情報を悪用し、ソーシャルエンジニアリングの成功率を高めています」と研究者らは指摘しています。
フィッシングメッセージは、端末が発見されたと被害者に伝え、端末を取り戻すために本人確認を行うよう求めます。SOCRadarが確認した通話記録では、「Alice from Apple Support」と名乗る人格が、何者かがその端末をApple Storeに持ち込んでロック解除を試みたため、安全のため店舗が端末を保管していると被害者に伝えています。
音声エージェントは、あらかじめ定められた会話の流れに沿って進行します。まず端末の所有者であることを確認し、被害者に4桁または6桁のパスコードを口頭で伝えるよう求めます。それを聞き出すと、被害者の端末機種に合わせたシナリオへと話を移し、誰かがApple Storeでロック解除を試みたため、店舗が復旧手続きを開始したと主張します。
続いて、セキュリティリンクを記載したテキストメッセージが被害者に届いているかを確認し、届いていないと答えた場合は再送します。そして、そのリンクから解除コードを入力するよう案内します。コードが確認できると、エージェントは通話を終了します。
盗み出した認証情報は、その後アクティベーションロックの解除や、端末を転売用に準備する目的で使用されます。
AnonyMousKITは依然として活動中
SOCRadarの報告書は、この犯罪組織を階層別に分類しています。プラットフォームを構築・販売する開発者、それをライセンス供与されて独自ブランドの店舗を運営する購入者、そしてその下でフィッシングメッセージを実際に送信する運用担当者です。
「AnonyMousKITは、フィッシングキットというよりも、犯罪者を顧客とする小規模なソフトウェアビジネスとして捉えるべきです」とSOCRadarは付け加えています。
研究者らによると、AnonyMousKITは調査の最終日時点でも依然として活動を続けており、今後もこのプラットフォームと、そのコードを共有する店舗の追跡を継続する計画だといいます。
翻訳元: https://www.helpnetsecurity.com/2026/08/26/anonymouskit-phishing-stolen-iphone/
