- SOCRadarが発見した「AnonyMousKIT」は、Appleの紛失モード連絡先情報を悪用するフィッシングキット
- 犯人はFind Myページを偽装し、盗まれたiPhoneのロック解除に必要な認証情報を被害者から騙し取る
- 2024年から活動しており、500以上のドメインとAI主導のビッシングを備えた犯罪ソフトウェアビジネスさながらに運営されている
セキュリティ研究者が、盗まれたiPhoneに対する最後の防衛線を突破するために作られた新たなフィッシングキット「AnonyMousKIT」を発見しました。このキットは2年以上前から使用されているといいます。
Appleのデバイスには、iPhoneを盗みにくい端末にするための複数の盗難防止機能が組み合わされており、Find My、アクティベーションロック、紛失モードなどがその代表例です。
ユーザーの端末が紛失または盗難に遭った場合、タブレットやノートパソコンなど別の端末からFind My iPhoneを有効化することで、アプリやウェブサイトを通じて端末を探し出すことができます。地図上で位置を確認したり、音を鳴らしたり、遠隔でデータを消去したり、端末が見つかった際に通知を受け取ったりすることも可能です。Find My機能を有効にすると、アクティベーションロックも同時に有効になり、端末がロックされて他人がセットアップできなくなります。
たとえ窃盗犯が端末を工場出荷状態にリセットしても、その端末は本来の所有者のApple IDに紐づいたままであり、第三者は単純にはセットアップできません。セットアップするには、紛失モードを解除するためのiPhoneのパスコードと、アクティベーションロック/セットアップ認証が必要な場合はApple IDのパスワードが必要になります。
しかし、Appleが追加したもう一つの機能があります。これは端末が実際には盗難ではなく、単に紛失した場合に備えたものです。こうしたケースのために、画面に所有者の連絡先情報を表示するオプションが用意されており、端末を見つけた善意の第三者が正当な所有者に返却できるようにしています。
他の多くの善意ある機能と同様に、この機能もまた現在、AnonyMousKITフィッシングキットの一部として悪用されています。
だから良いものが台無しになる
セキュリティ研究者SOCRadarによると、犯人はAnonyMousKITを使って偽のFind MyページやApple関連ページを作成しています。そして、盗まれたiPhoneの画面に表示された連絡先情報を使って被害者に接触します。このキットを通じて、攻撃者はメール、SMS、WhatsAppメッセージ、さらにはAIによる音声通話まで送信できます。被害者に接触した攻撃者は、自らをApple customer supportの担当者と名乗り、スマートフォンが発見・回収されたと告げます。
また、主張の信憑性を裏付けるために、正確な機種名やIMEI情報を被害者に提示します。その上で、偽装されたFind Myページにアクセスし、端末のロック解除に必要な認証情報を入力することで本人確認を行うよう被害者に求めます。
入力された認証情報は攻撃者の手に渡り、攻撃者はそれを使って端末のロックを解除し、データを消去した上で、闇市場でより高値で転売します。
「ソフトウェアビジネス」
SOCRadarによると、AnonyMousKITに関する最古の記録は2024年初頭にまで遡ります。それ以降、このキットは大規模な運営体制へと成長しており、500以上のドメインを保有し、リセラーやアフィリエイトとして機能する150以上のストアフロントブランドを抱えています。
調査の一環として、研究者らは2025年8月から2026年5月の間に犯人が被害者に対して行った約200件の通話記録を発見しました。これらの通話は、5種類の異なるAIエージェントの人格と55種類の異なる会話台本を使って行われていました。
1件の通話にかかるコストは攻撃者にとって0.10ドルで、そのうち90%はブラジルの被害者を対象としたものでした。政府機関や企業のメールアドレスに対しても、少数ながらメールでの接触が行われていました。南アフリカの政府ドメインに対しては30件近くの試行があり、現地の大学1校に対しても3件の試行が確認されています。このキャンペーンは世界規模で展開されているものの、主な標的は南アフリカ、インドネシア、インド、ケニア、ブラジル、イタリアです。
SOCRadarはAnonyMousKITについて、「フィッシングキットというより、犯罪者を顧客基盤とする小規模なソフトウェアビジネスに近い」と表現しています。
「その最大の革新は、自動化されたLLM駆動の音声攻撃ベクトルにある。1件あたり約0.10ドルというコストで、このプラットフォームはメールやSMSの誘導文言と同期させた定型シナリオを用い、3つの言語にわたって動的なビッシングを仕掛けることができ、流暢に話せる人間のオペレーターを必要としない」としています。
このレポートが公開された時点で、キャンペーンは依然として継続中であり、研究者らは現在も追跡を続けています。
