脅威インテリジェンス企業のSOCRadarは、AnonyMousKITとして知られるフィッシング・アズ・ア・サービス（PhaaS）プラットフォームを明らかにした。このプラットフォームは、偽のメッセージやページに加え、AIを搭載した音声エージェントを使用し、盗まれたiPhoneの所有者をだましてパスコードやApple Accountの情報を奪う。2026年8月25日に公開された報告書によると、このプラットフォームは2024年初頭から活動しており、盗難端末の販売、Apple ID情報の収集、iCloudバックアップやKeychainデータへのアクセスを支援するエコシステムを構築している。
SOCRadarは、運営者が相対パスを公開したまま使用していたことを研究者が悪用したことで、このサービスの構造を分析できた。分析の結果、AnonyMousKITは、販売インターフェースまたはサービスの再販業者として機能する506のドメインと168のブランドに関連していることが判明した。これは、この活動が単独のフィッシングキャンペーンではなく、複数の運営者が利用できる組織化されたサービスであることを示している。
このプラットフォームは盗難端末の所有者をどのように標的にするのか？
手口はまず、端末の所有者が紛失モードに設定する際に入力した連絡先情報を利用し、その後、メール、SMS、WhatsApp、または電話で連絡を取ることから始まる。メッセージはAppleを装い、端末のモデルと正しいIMEI番号を記載することで、携帯電話を発見したという主張に一定の信ぴょう性を持たせる。
その後、被害者はFind MyまたはAppleのいずれかのページを模倣した偽ページに誘導され、端末のパスコード、Apple Accountの情報、2要素認証コードの入力を求められる。SOCRadarが調査した一部の事例では、音声エージェントが「AppleサポートのAlice」という人物を名乗り、誰かが携帯電話のロック解除を試み、その端末をApple Storeに持ち込んだと被害者に伝えた。そのうえで、パスコードを口頭で伝えさせて所有権を確認するよう求め、後にフィッシングページへ誘導した。
インフラの規模を示す数字
研究者らは、2025年8月から2026年5月までの間に被害者と行われた200件の通話記録を復元した。通話では、5つの人物設定を通じて音声エージェントが実行する55種類の異なる対話スクリプトが使用されていた。SOCRadarによると、運営者にとって1件の通話の費用は約0.10ドルであり、分析対象となった通話の90％はブラジルの電話番号を標的としていた。
キャンペーンの範囲は世界規模であるものの、研究者らは南アフリカ、インドネシア、イタリア、インド、ケニア、ブラジルで特に集中していることを確認した。また、プラットフォームのメッセージの一部は政府機関、組織、企業にも到達しており、キャンペーンによる潜在的な影響は盗難端末市場を超えて広がっている。
なぜこのニュースが重要なのか？
このプラットフォームの重要性は、端末の窃取と所有者のデジタルIDの窃取を結び付けている点にある。パスコードとアカウント情報が提供されると、攻撃者は個人データ、iCloudバックアップ、Keychainに保存されたパスワード、仕事用メール、個人端末や勤務先から支給された端末に保存されているその他の組織情報にアクセスできる可能性がある。
SOCRadarによると、コードを入手した攻撃者は、被害者のデータにアクセスし、端末をリセットしてFind Myアプリから削除したうえで、部品用として売却するだけでなく端末そのものを販売できる。一方、報告書が示す最大の制約は、手口の成功が端末の所有者を説得して機密コードを漏えいさせられるかどうかに依存している点である。したがって、自動化された通話が存在することは、Appleのシステム自体が侵害された証拠ではない。むしろ、正確な端末情報、ソーシャルエンジニアリング、人工音声を組み合わせ、被害者の警戒を回避する方法を示している。