AI音声エージェントがiPhoneのパスコードを詐取 — PhaaS「AnonyMousKIT」が盗難端末のActivation Lock解除を自動化

SOCRadarのThreat Research Unitは2026年8月25日、盗難したiPhoneのActivation Lock解除を目的とするPhaaS（Phishing-as-a-Service）「AnonyMousKIT」の実態を公開した。研究者らはバックエンドのソースコードや運用ログ、AI音声通話の記録を分析し、同サービスが2024年2月から活動し、メールやSMS、WhatsApp、AI音声エージェントを組み合わせてApple IDやパスコード、2FAコードを詐取していると報告した。

脅威動向 NEXSIGHT CYBER WIRE 編集部 2026.08.26 5–6 min read

SOCRadarのThreat Research Unit（STRU）は2026年8月25日、盗難されたiPhoneのActivation Lock（アクティベーションロック）解除を目的とするPhaaS（Phishing-as-a-Service）「AnonyMousKIT」 の分析結果を公開した。研究者らは バックエンドのソースコードや本番ログ、運用パネル、フィッシングページ、AI音声サービスの成果物 を分析し、同サービスが 2024年2月から稼働し、2026年8月時点でも活動を継続 していると報告した。SOCRadarは 共通のコードベースに残された相対パスの不備から、30のバックエンドにまたがるインフラを横断的に追跡 した。

Activation Lock解除を“サービス化” — 6,092通のフィッシングメール

Appleの Activation LockはiOS 7で導入された盗難対策で、端末を所有者のApple IDに紐付ける 機能だ。端末が盗難されてもActivation Lockが有効なままでは再販や再利用が困難だが、所有者のパスコードやApple ID、2要素認証（2FA）コードを入手できればロックを解除できる。

AnonyMousKITはこの解除プロセスを商用サービス化している。犯罪者は盗難端末の機種や被害者の連絡先、Find Myの状態などを運用パネルに入力し、フィッシングの試行を開始する。SOCRadarは 30の関連バックエンドで6,092通のフィッシングメールを確認し、5,031台がオンライン、1,035台がロック状態として登録されていた としている。

被害者がフィッシングリンクを開くと、Appleを装うページが表示される。ページは ボット対策や地域化されたコンテンツ、アニメーション付きの地図で「端末が見つかった」かのように見せかけ、デバイスのパスコード、Apple IDの認証情報、ライブの2FAコードを順に要求する。入力された情報は 運用パネルとTelegramのWebhookへ転送 される。

AI音声エージェント「Alice from Apple Support」が電話で詐取

AnonyMousKITは 会話型AIによる音声フィッシング（vishing） も統合している。研究者らは VAPI.aiのアカウントから200件の通話記録と55件の通話書き起こしを回収 し、主にポルトガル語を話す「Alice from Apple Support」などのペルソナが設定されていた ことを確認した。

自動エージェントは 「Appleが紛失した端末を回収した」として被害者に4桁または6桁のパスコードの確認を求め、SMSで配信されるフィッシングリンクへ誘導する。200件の通話のうち179件がブラジルの電話番号を標的とし、運用コストは19.24ドル（1回あたり約10セント）だった という。

露出した運用ログ — 506ドメインと30バックエンドを紐付け

SOCRadarは、高度な自動化にもかかわらず、基本的な開発ミスが運用の多くを露呈させた と指摘する。共通コードに残された相対パス（bare relative file paths）により、本番ログが認証なしでアクセス可能な状態になっていた。この共通コードを起点に横展開した結果、研究者らは 506のドメイン、168の偽装ブランド（storefront brands）、30の異なるバックエンド設置 を関連付けた。

被害は端末の再販価値を超える。窃取されたApple IDはiCloudバックアップや同期されたメール、写真、文書、iCloudキーチェーンに保存された認証情報へのアクセスに悪用され得る。SOCRadarは 政府、教育機関、企業のアドレスにもフィッシングが到達していた が、これは組織が標的だったのではなく、従業員の端末が盗難されたことが原因とみられる と分析している。

対策 — Appleを名乗る連絡は直接アクセスで確認を

SOCRadarは、Appleユーザに対し次の対策を推奨している。

Appleが端末を回収したとする不審な電話やSMS、メールは疑う
Find Myの状態は、メッセージ内のリンクではなく、信頼できるAppleアプリや正規のAppleドメインを手入力して確認する
デバイスのパスコードを電話で伝えない
メッセージで届いたリンク先でApple IDや検証コードを入力しない

出典: SOCRadar, “Exposing AnonyMousKIT: AI-Powered PhaaS Supply Chain” (SOCRadar Threat Research Unit, August 25, 2026). https://socradar.io/blog/anonymouskit-ai-phaas-supply-chain/

この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。