위협 인텔리전스 기업 SOCRadar는 AnonyMousKIT라는 피싱 서비스형 플랫폼을 공개했다. 이 플랫폼은 가짜 메시지와 페이지, 그리고 AI 기반 음성 에이전트를 사용해 도난당한 iPhone 소유자를 속이고 기기 암호와 Apple 계정 데이터를 탈취한다. 2026년 8월 25일 발표된 보고서에 따르면 이 플랫폼은 2024년 초부터 활동했으며, 도난 기기 판매와 Apple ID 데이터 수집, iCloud 백업 및 Keychain 데이터 접근을 지원하는 생태계를 뒷받침한다.
SOCRadar는 운영자들이 노출된 상대 경로를 사용한 사실을 연구원들이 이용한 뒤 서비스의 구조를 분석할 수 있었다. 분석 결과 AnonyMousKIT는 판매 인터페이스 또는 서비스 리셀러로 운영되는 506개 도메인 및 168개 브랜드와 연결되어 있었다. 이는 해당 활동이 단일 피싱 캠페인이 아니라 여러 운영자가 사용할 수 있는 조직화된 서비스임을 시사한다.
플랫폼은 도난당한 기기 소유자를 어떻게 표적으로 삼는가?
과정은 기기 소유자가 분실 모드에서 입력한 연락처 정보를 활용하는 것에서 시작되며, 이후 이메일, 문자 메시지, WhatsApp 또는 전화 통화로 소유자에게 연락한다. 메시지는 Apple을 사칭하고 기기의 정확한 모델과 IMEI 번호를 언급해 휴대전화를 찾았다는 주장의 신빙성을 높인다.
그런 다음 피해자는 Find My 또는 Apple 페이지 중 하나를 모방한 가짜 페이지로 이동하며, 기기 암호와 Apple Account 정보, 이중 인증 코드를 입력하라는 요청을 받는다. SOCRadar가 검토한 일부 사례에서는 음성 에이전트가 “Apple 지원의 Alice”라는 인물로 자신을 소개하고, 누군가 휴대전화 잠금 해제를 시도해 이를 Apple 매장으로 가져왔다고 피해자에게 알렸다. 이후 소유권 확인을 위해 암호를 불러 달라고 요청하고, 이어서 피싱 페이지로 안내했다.
인프라의 규모를 보여주는 수치
연구원들은 2025년 8월부터 2026년 5월 사이 피해자들과 이루어진 통화 200건의 기록을 복구했다. 통화에는 5개 인물을 통해 음성 에이전트가 실행한 서로 다른 대화형 스크립트 55개가 사용됐다. SOCRadar에 따르면 운영자가 부담하는 통화 1건당 비용은 약 0.10달러이며, 분석된 통화의 90%는 브라질의 전화번호를 대상으로 했다.
캠페인은 전 세계를 범위로 하지만, 연구원들은 남아프리카공화국, 인도네시아, 이탈리아, 인도, 케냐, 브라질에서 추가적인 집중 현상을 관찰했다. 또한 플랫폼의 메시지 중 소수는 정부 기관과 기관 및 기업에 도달했으며, 이에 따라 캠페인의 잠재적 영향은 도난 기기 시장을 넘어 확대된다.
왜 이 소식이 중요한가?
이 플랫폼의 중요성은 기기 절도와 소유자의 디지털 신원 탈취를 연결한다는 데 있다. 암호와 계정 데이터가 제공되면 공격자는 개인 데이터, iCloud 백업, Keychain에 저장된 비밀번호, 업무용 이메일, 개인 기기 또는 직장에서 지급한 기기에 저장된 기타 기업 정보를 탈취할 수 있다.
SOCRadar에 따르면 공격자는 코드를 확보한 뒤 피해자 데이터에 접근하고, 기기를 초기화하며, Find My 앱에서 기기를 제거한 다음 부품용으로만 판매하는 대신 기기 자체를 판매할 수 있다. 다만 보고서가 보여주는 가장 중요한 제약은 이 과정의 성공 여부가 기기 소유자를 설득해 민감한 코드를 공개하도록 만드는 데 달려 있다는 점이다. 따라서 자동화된 통화가 존재한다는 사실은 Apple 시스템 자체가 해킹되었다는 증거가 아니다. 오히려 정확한 기기 정보와 사회공학, 인공 음성이 피해자의 경계를 우회하는 데 어떻게 사용되는지를 보여준다.