Das Threat-Intelligence-Unternehmen SOCRadar hat eine als AnonyMousKIT bekannte Phishing-as-a-Service-Plattform aufgedeckt. Sie nutzt neben gefälschten Nachrichten und Webseiten auch KI-gestützte Sprachagenten, um Besitzer gestohlener iPhones zu täuschen und Passcodes sowie Daten des Apple-Accounts zu erbeuten. Laut dem am 25. August 2026 veröffentlichten Bericht ist die Plattform seit Anfang 2024 aktiv und unterstützt ein Ökosystem zum Verkauf gestohlener Geräte sowie zum Sammeln von Apple-ID-Daten und zum Zugriff auf iCloud-Backups und Keychain-Daten.
SOCRadar konnte die Infrastruktur des Dienstes analysieren, nachdem seine Forscher ausgenutzt hatten, dass die Betreiber offene relative Pfade verwendeten. Die Analyse zeigte, dass AnonyMousKIT mit 506 Domains und 168 Marken verbunden ist, die als Verkaufsoberflächen oder Vertriebspartner des Dienstes fungieren. Dies deutet darauf hin, dass es sich bei der Aktivität nicht um eine einzelne Phishing-Kampagne, sondern um einen organisierten Dienst handelt, den mehrere Betreiber nutzen können.
Wie zielt die Plattform auf Besitzer gestohlener Geräte?
Der Vorgang beginnt mit der Nutzung der Kontaktdaten, die der Besitzer beim Aktivieren des Verloren-Modus auf dem Gerät hinterlegt hat. Anschließend wird er per E-Mail, SMS, WhatsApp oder telefonisch kontaktiert. Die Nachrichten geben sich als Apple aus und nennen das korrekte Gerätemodell sowie die richtige IMEI-Nummer, um der Behauptung, das Telefon sei gefunden worden, ein gewisses Maß an Glaubwürdigkeit zu verleihen.
Das Opfer gelangt anschließend zu einer gefälschten Seite, die Find My oder eine der Apple-Seiten nachahmt. Dort wird es aufgefordert, den Gerätepasscode, die Daten des Apple-Accounts und den Code für die Zwei-Faktor-Authentifizierung einzugeben. In einigen von SOCRadar untersuchten Fällen stellte sich ein Sprachagent als „Alice from Apple Support“ vor. Er teilte dem Opfer mit, jemand habe versucht, das Telefon zu entsperren und es in einen Apple Store gebracht, und forderte es anschließend auf, den Besitz zu bestätigen, indem es den Passcode diktierte. Danach leitete er es zu der Phishing-Seite weiter.
Zahlen zeigen das Ausmaß der Infrastruktur
Die Forscher rekonstruierten Protokolle von 200 Gesprächen, die zwischen August 2025 und Mai 2026 mit Opfern geführt wurden. Die Gespräche basierten auf 55 verschiedenen interaktiven Skripten, die ein Sprachagent über fünf Personas ausführte. Laut SOCRadar belaufen sich die Kosten für den Betreiber auf etwa 0,10 US-Dollar pro Anruf; 90 % der analysierten Anrufe richteten sich an Telefonnummern in Brasilien.
Obwohl die Kampagnen weltweit angelegt sind, stellten die Forscher eine zusätzliche Konzentration in Südafrika, Indonesien, Italien, Indien, Kenia und Brasilien fest. Ein kleiner Anteil der Nachrichten der Plattform erreichte außerdem Behörden, Institutionen und Unternehmen. Dadurch könnte sich die mögliche Wirkung der Kampagne über den Markt für gestohlene Geräte hinaus ausweiten.
Warum ist diese Nachricht wichtig?
Die Bedeutung der Plattform liegt darin, dass sie den Gerätediebstahl mit dem Diebstahl der digitalen Identität des Besitzers verbindet. Die Herausgabe des Passcodes und der Kontodaten kann Angreifern den Zugriff auf persönliche Daten, iCloud-Backups, im Keychain gespeicherte Passwörter, geschäftliche E-Mails und weitere Unternehmensinformationen ermöglichen, die sich auf privaten oder vom Arbeitgeber bereitgestellten Geräten befinden.
Nach dem Erhalt der Codes können Angreifer laut SOCRadar auf die Daten des Opfers zugreifen, das Gerät zurücksetzen und es aus der Find-My-App entfernen. Anschließend können sie es verkaufen, statt es lediglich als Ersatzteillager zu veräußern. Die wichtigste Einschränkung, die der Bericht belegt, besteht jedoch darin, dass der Erfolg des Vorgangs davon abhängt, den Besitzer des Geräts zur Preisgabe sensibler Codes zu bewegen. Das Vorhandensein eines automatisierten Anrufs ist daher kein Beleg für einen Einbruch in die Systeme von Apple. Es zeigt vielmehr, wie korrekte Geräteinformationen, Social Engineering und synthetische Sprache eingesetzt werden, um die Vorsicht des Opfers zu umgehen.