盗難iPhoneの解除コードを音声AIが窃取 — PhaaS「AnonyMousKIT」が506ドメインで展開、SOCRadarが解明

盗難されたiPhoneのロック解除を目的に、音声AIエージェントが被害者へ直接電話をかけてパスコードをだまし取る大規模なフィッシング基盤が明らかになった。脅威インテリジェンス企業のSOCRadarが2026年8月に公表した分析によると、「AnonyMousKIT」と名付けられたPhaaS（Phishing-as-a-Service）プラットフォームは2024年初頭から稼働し、506のドメインと168の販売ブランドで構成された広範なエコシステムを形成していた。

基盤の規模 — 506ドメイン、168ブランド、200件のAI通話

SOCRadarは、AnonyMousKITの運営者が相対パスの不適切な設定を残していたことを手がかりに、インフラと運用実態を調査した。その結果、AnonyMousKITは506のドメインと連携し、168のストアフロントブランドが再販者として活動する構造が確認された。盗難端末の転売、Apple IDの収集、iCloudバックアップやキーチェーン認証情報へのアクセスまでを一連のビジネスとして回している。

SOCRadarが回収した記録では、2025年8月から2026年5月にかけて被害者への通話が200件行われ、55種類の対話 transcript（会話記録）が5つのペルソナで運用される音声AIエージェントによって処理されていた。1回の通話コストは約0.10ドルとされ、90%はブラジル宛てだった。一方で、キャンペーン全体の地理的な広がりは大きく、南アフリカ、インドネシア、イタリア、インド、ケニア、ブラジルで特に集中しつつ、世界的に展開していた。SOCRadarは、送信されたフィッシングメールの少数が政府や企業組織宛てだったことも確認している。

手口 — 紛失モードの連絡先を悪用し、AIが電話で誘導

AppleのActivation Lockは、「探す」機能を有効にすると自動的に働き、端末を所有者のApple Accountに紐づける。仮に端末が初期化されても、初期設定時に正規の認証コードが求められるため、解除できなければ端末は利用できない。このため、多くの盗難iPhoneは部品取りとして安価に取引されるが、ロックを解除できれば端末の価値は跳ね上がり、所有者の個人データにもアクセス可能になる。

AnonyMousKITは、この保護を迂回するために、盗難端末から得た所有者の連絡先情報を悪用する。被害者が紛失モードで登録した連絡先が端末画面に表示される仕組みを逆手に取り、運営者はその連絡先へメール、SMS、WhatsApp、あるいは音声通話で接触する。メッセージはAppleを装い、「紛失したデバイスが見つかった」と称して、正確なモデル名やIMEIを併記することで正規の通知に見せかける。

被害者を誘導する先は、偽の「探す」やAppleのログインページだ。ページではデバイスのパスコード、Apple Accountの認証情報、2要素認証コードの入力を求められる。SOCRadarが確認した事例では、「Appleサポートのアリス」を名乗るAIエージェントが「誰かが端末のロック解除を試みてApple Storeに持ち込んだため、端末を預かっている。所有確認のためパスコードを口頭で伝えてほしい」と説明し、その後にフィッシングページへの入力を促していた。

攻撃者がこれらのコードを入手すると、被害者の個人データへアクセスし、端末を初期化して「探す」から削除した上で転売する。SOCRadarは、侵害されたApple IDを通じて、iCloudバックアップ、キーチェーンに保存されたパスワード、職場のメールや企業データにまで影響が及び得ると警告している。個人所有の端末だけでなく、企業から貸与されたiPhoneでも同様のリスクがある。

なぜ日本でも注意が必要か

日本はiPhoneの利用比率が世界的にも高く、紛失・盗難時の「探す」への依存度も高い。AnonyMousKITの手口は、OSの脆弱性を突くのではなく、紛失時の正規の連絡手段と、Appleを装うソーシャルエンジニアリング、そして音声AIによる自然な会話で被害者の警戒を解く点に特徴がある。SOCRadarが確認した活動の中心はブラジルや南アフリカ等だったが、同社は活動が世界的に広がっていると指摘しており、日本の利用者が同様の連絡を受けた場合にだまされる可能性は否定できない。

SOCRadarの分析が示す対策の方向性は、Appleや通信事業者が実際に呼びかけている基本的な防御に集約される。Appleを名乗る連絡であっても、電話口やWebページでデバイスのパスコードやApple IDのパスワード、2要素認証コードを伝えないこと、不審なリンクはAppleの正規ドメインかを確認すること、そして身に覚えのない「デバイスが見つかった」通知は正規の「探す」アプリやiCloud.comで直接確認することが重要だ。組織では、従業員が私用・社用を問わずiPhoneの紛失時にどのような連絡が正規で、どのような要求は決して行われないかを事前に周知しておくことが、AIによる音声フィッシングへの耐性を高める。

出典

• SOCRadar, “Inside AnonyMousKIT: The Phishing Platform Powering iPhone Theft and Identity Fraud” https://www.socradar.io/blog/inside-anonymouskit-the-phishing-platform-powering-iphone-theft-and-identity-fraud/
• SOCRadar Blog https://www.socradar.io/blog/