フィッシング・アズ・ア・サービス「AnonyMousKIT」、5つのチャネルでApple ID・端末パスコード・生の2FA情報をリアルタイムに窃取

AnonyMousKITは、盗難に遭ったApple製デバイスを収益化可能な資産へと変える、AI対応のフィッシング・アズ・ア・サービス(PhaaS)プラットフォームです。

このサービスは、端末の所有者のパスコード、Apple IDの認証情報、そしてリアルタイムの二要素認証(2FA)コードを自動的に収集します。これらの情報があれば、犯罪者はアクティベーションロックを解除し、盗難端末を転売できるようになります。

AnonyMousKITは単発のフィッシングメッセージに頼るのではなく、盗まれた端末から抽出した情報をもとに、被害者を継続的に関与させ続けるワークフローを構築します。

オペレーターは一度端末プロファイルを入力するだけで、以降はメール、SMS、WhatsApp、事前録音の音声通話、そしてAIを活用したビッシングという連携キャンペーンを開始できます。

この5チャネルモデルによって、脅威アクターは被害者がだまされてルアーに反応するまで、圧力をかけ続けることが可能になります。

iOS 7で導入されたAppleのアクティベーションロックは、デバイスを所有者のApple IDに紐付けることで、盗難ハードウェアの価値を大きく下げる仕組みです。

しかしこの保護機能自体が、その解除に必要な認証情報を収集することに特化した犯罪サービス市場を生み出す結果となりました。

AnonyMousKITは、まさにこの盗難後のフェーズ向けに設計されているように見えます。実際の端末モデル識別子、Find Myのステータス、所有者の連絡先情報を利用することで、不正な端末発見通知に信憑性を持たせているのです。

データ復旧サービス

SOCRadar Threat Research Unit(STRU)による「内側から見た」分析が可能になったのは、共有コードベースにおける基本的な運用セキュリティ上のミスがあったためです。

単純な相対ファイルパスがそのまま使われていたことで、認証を経ない外部からのWebアクセスにより、本番環境のログ、オペレーターのデータ、バックエンドの成果物が露出していたと報告されています。

この露出により研究者たちは、プラットフォームのメール活動、WhatsApp運用、ソースコード、AIエージェントのプロンプト、音声通話記録を可視化することができました。

今回の調査結果は、単発のフィッシングキットというより、一つのエコシステムの存在を示しています。SOCRadarはこのファミリーを506のドメインと168のストアフロントブランドに関連付け、42のドメインにまたがる30種類の異なるバックエンド展開を特定しました。

このインフラは少なくとも2026年初頭から活動しており、2026年8月時点でも稼働が続いていることが証拠から示されています。

被害者は最終的に、Apple風またはFind My風に偽装されたページへと誘導されます。このページでは位置情報を示すビジュアルとボット対策のチェックが表示された後、端末のパスコード、Apple ID、現在有効な2FAコードが順番に要求されます。

取得されたデータはオペレーターのパネルとTelegramのWebhookに送信され、ほぼリアルタイムでの悪用を可能にしています。

この一連の流れが重要なのは、Apple IDのパスワードだけではアカウントの乗っ取りや保護機能の解除に不十分な場合がある点です。このプラットフォームは、詐欺を完遂するために必要な追加のパスコードと、時間制限付きの確認コードを引き出すよう設計されています。

SOCRadar Threat Research Unit(STRU)がAnonyMousKITについて調査したところ、フィッシングの流れは端末プロファイリングから始まります。オペレーターは盗まれたApple製デバイスのモデルとFind Myの状態を取得し、被害者レコードを作成した上で、トークン化されたルアーを生成します。

AnonyMousKIT PhaaSプラットフォーム

メールは最もよく記録されているチャネルです。STRUは中核となるAnonyMousKITの展開から691件のメール送信の試みを回収し、そのうち649件が配信済みでした。一方、より広範な30のバックエンドファミリー全体では6,092件のメールが記録されていました。

パネルの「Extensions」内「How to use?」ページには、4種類の異なるバイナリが公開されています。このうち2つのアプリケーションはオペレーター独自の開発ツールです。

配信されたメッセージの大部分は、Appleのノーリプライアカウントを装った単一の無料Gmailリレーを経由していたと報告されています。

「Your device has been found(あなたの端末が見つかりました)」といった件名や位置情報をテーマにした内容は、紛失・盗難直後の切迫感につけ込むものです。

AIビッシングの要素は、商用の音声ツールがコモディティ化したサイバー犯罪サービスにどのように組み込まれつつあるかを示しています。

サイバー犯罪対策ツール

AnonyMousKITの利用者は、Appleサポートの「Alice」を名乗る事前設定済みのエージェントを、英語、スペイン語、ブラジルポルトガル語から選択できるようになっていました。

回収された資料からは、2025年8月から2026年5月の間に200件のAI通話記録(うち55件は文字起こし付き)が確認されました。通話の約90%はブラジルを標的としており、AIサービスの総コストはわずか19.24ドル、1回あたりに換算すると約9.6セントでした。

この価格帯であれば、オペレーター側には対象を絞り込む動機がほとんどなく、盗難端末の所有者に対して繰り返し攻撃を仕掛けることが可能になります。

スクリプトは、まず信頼関係を築き、紛失した端末が発見されたと主張し、4桁または6桁のパスコードを要求した上で、SMSや別のチャネルで送られるフィッシングリンクへと標的を誘導する構成になっています。

このアプローチは、AIエージェントが台本化されたソーシャルエンジニアリングを、試行のたびに人間のオペレーターを必要とすることなく大規模に運用できることを示しています。

直接の目的はアクティベーションロックの解除ですが、攻撃が成功すればより広範な影響が及ぶ可能性があります。Apple IDが乗っ取られれば、iCloudバックアップへのアクセス、iCloudキーチェーンに保存された認証情報、そして個人端末に同期された業務関連データにまで手が及ぶ恐れがあります。

STRUはキャンペーンのデータの中に、政府機関、教育機関、企業のドメインといった組織的な標的が含まれていることを確認しています。

防御側にとって、このキャンペーンはシンプルながら重要な原則を改めて浮き彫りにしています。Appleが端末のパスコード、Apple IDのパスワード、リアルタイムの2FAコードを要求する電話をユーザーにかけてくることは、正規の対応としてはあり得ません。

組織は従業員――特に業務で使用する会社支給または個人所有の端末を紛失した従業員――に対し、「端末発見」をうたう電話、SMS、WhatsAppメッセージ、メールはすべて悪意あるものである可能性があるとして扱うよう周知すべきです。

ユーザーは紛失モードの連絡先情報を最小限にとどめ、身に覚えのない「端末発見」メッセージ内のリンクをたどらないようにし、アカウントの認証情報はApple公式アプリ経由か、手入力したApple公式ドメイン上でのみ入力するようにしてください。

今回のAnonyMousKITの事例は、現代の端末盗難がもはや単なる物理的な犯罪にとどまらないことを示しています。それは、盗まれた端末をアカウントへのアクセス権、機密データ、そして転売収益へと変換するために設計された、組織的なID窃取オペレーションなのです。

データ復旧サービス

侵害指標(IoC)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])としています。実際のアドレスへの復元は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。

★ 削減すべきセキュリティツールを1ページで可視化 – 「継承されたセキュリティスタック」ガイドをダウンロード