盗んだiPhoneのロック解除をAI音声が代行 — PhaaS「AnonyMousKIT」が506ドメインで展開、SOCRadarが手口を解明

脅威インテリジェンス企業のSOCRadarは、盗難されたiPhoneのActivation Lock（アクティベーションロック）解除を目的とするフィッシング・アズ・ア・サービス（PhaaS）「AnonyMousKIT」の実態を分析し、その結果を公表した。AI音声エージェントが所有者に直接電話をかけ、パスコードを詐取する手口が中核にあり、506のドメインと168のブランドにまたがる販売網で展開されていた。

506ドメインと168ブランドにまたがる販売網

SOCRadarのThreat Research Unitがバックエンドのソースコードや運用ログ、オペレーター用コンソールを解析したところ、AnonyMousKITは単一の開発者が基盤を構築し、購入者がブランドを付けて店舗（ストアフロント）を運営し、末端のオペレーターが実際の詐取を行う三層構造であった。

SOCRadarによると、共通のコードベースで結ばれた506のドメインと168のストアフロントブランドが確認され、30のバックエンドで6,092件のフィッシングメールが送信されていた。標的となった端末は、Find Myでオンラインと判定された5,031台と、ロック状態の1,035台である。ある購入者は2026年4月10日の同一秒に3つのストアフロントを立ち上げ、Gmailのリレーやオペレーターを共有していた。SOCRadarは「3つの顧客ではなく、1人の購入者が3つの店舗を運営している」と分析している。

同サービスは2024年2月以降活動し、2026年8月時点でも稼働していた。法執行機関による摘発は報告されていない。

AI音声エージェント「Alice Dias」がパスコードを詐取

AppleのActivation Lockは、端末をApple IDにひも付けて盗難後の再利用を防ぐ仕組みである。盗んだiPhoneを再販するには所有者の認証情報が必要になるため、攻撃者は所有者をだまして情報を引き出す必要がある。

AnonyMousKITの特徴は音声チャネルである。SOCRadarが回収した200件の通話ログと55件の書き起こしによると、エージェントは「Alice Dias、Apple Support」を名乗り、英語・スペイン語・ポルトガル語で所有者に電話をかけた。台本は所有確認から始まり、次に4桁または6桁のパスコードを求め、店舗での復旧手続きを装ってフィッシングリンクへ誘導する流れであった。

SOCRadarは、200件の通話のうち90%がブラジルを標的とし、総コストは19.24ドルであったと報告している。1件あたり約10セントという低コストのため、攻撃者側に「対象を選別する経済的圧力がない」状態であり、無差別な試行が可能になっている。

メール経路でも手口は巧妙であった。配信されたメールの97.7%は、Appleのno-replyを装った単一の無料Gmailアカウントを経由していた。小さなスマートフォン画面では差異に気づきにくいことを突いた手法であるとSOCRadarは指摘している。

iCloudや政府ドメインへの波及

盗まれたApple IDは端末のロック解除にとどまらない。iCloudバックアップやキーチェーンに保存された認証情報が露出する恐れがある。SOCRadarによると、AnonyMousKITのトラフィックの9.3%は消費者以外のドメインに送信され、南アフリカの政府機関のアドレスへの27件の送信も含まれていた。

利用者と組織が取るべき対策

SOCRadarは、Appleが電話でパスコードや2段階認証コードを求めることはないと強調している。同社は次の対応を推奨している。

• 端末が見つかったという通知は安易に信用せず、公式のAppleチャネルでのみ対応する
• パスコードや2段階認証コードを電話やテキストで共有しない
• Find MyとActivation Lockを有効に保ち、Apple IDに強力な2段階認証を設定する

SOCRadarによると、今回の分析は、バックエンドの設定不備によりログが外部から閲覧可能になっていたことがきっかけで可能になった。AI音声が1件10セントで大量に生成できる現状は、従来のフィッシング対策だけでは防ぎきれない新たなリスクを示していると同社は指摘している。

出典

• SOCRadar Labs: AnonyMousKIT – The AI-Powered PhaaS Platform Hijacking Stolen iPhones