Une opération sophistiquée de phishing vise les personnes dont les iPhones ont été perdus ou volés, en utilisant des e-mails automatisés, des messages et des appels générés par IA pour obtenir les identifiants nécessaires à la déverrouillage des appareils.
Researchers at SOCRadar a identifié la plateforme comme AnonyMousKIT, la décrivant comme une opération de phishing en tant que service conçue spécifiquement pour automatiser les attaques sur plusieurs canaux de communication. Au lieu de se fier à un seul message de phishing, les clients du service peuvent contacter à plusieurs reprises la même victime via email, SMS, WhatsApp, appels préenregistrés et agents vocaux IA conversationnels.
L’objectif est d’obtenir un code d’accès pour iPhone, un code d’authentification à deux facteurs ou d’autres informations qui pourraient aider les criminels à surmonter les protections de sécurité d’Apple et à faciliter la revente d’un appareil volé.
Les attaquants créent d’abord un profil du téléphone volé en utilisant des informations telles que son modèle, son numéro de téléphone associé et son statut Localiser. Ces informations peuvent ensuite être intégrées dans des messages personnalisés qui rendent l’approche plus convaincante.
Certains des messages de phishing examinés par les chercheurs affirmaient qu’un iPhone manquant avait été retrouvé. Un courriel indiquait à son destinataire qu’un iPhone 15 Plus avait été détecté près d’un autre appareil Apple à Johannesburg et fournissait un bouton permettant apparemment au propriétaire de voir sa localisation. Un autre message affirmait qu’un iPhone 14 perdu avait été retrouvé en ligne.
L’opération dépasse les messages écrits. SOCRadar a récupéré des documents montrant que la technologie commerciale d’IA conversationnelle était utilisée pour passer des appels automatisés tout en se faisant passer pour le personnel du support Apple.
Un personnage IA, appelé « Alice », était configuré pour informer les victimes que quelqu’un avait tenté de supprimer le verrouillage d’activation de leur appareil. L’agent pouvait alors demander le code d’accès à quatre ou six chiffres du téléphone, demander un code 2FA, et orienter la cible vers un site de phishing.
Les chercheurs ont récupéré environ 200 enregistrements d’appels IA, cinq personas IA et 55 transcriptions de conversations. Environ 90 % des appels récupérés ciblaient des numéros brésiliens. Des milliers de tentatives WhatsApp ont également été identifiées, tandis que les chercheurs ont compté 691 tentatives d’email associées à AnonyMousKIT et plus de 6 000 dans les versions apparentées de la plateforme.
L’infrastructure ressemble à un service logiciel commercial plutôt qu’à une simple collection de pages de phishing. Les opérateurs peuvent acheter des crédits et gérer des campagnes via un tableau de bord contenant des informations sur les commandes, les soldes, les liens, les tentatives bloquées et les attaques réussies.
SOCRadar a indiqué qu’une erreur de développement a révélé des portions importantes du backend de l’opération, offrant aux chercheurs une vue inhabituelle de son infrastructure. Leur enquête a identifié 30 installations backend réparties sur 42 domaines partageant le même code sous-jacent.
Les résultats suggèrent également qu’AnonyMousKIT soutient une chaîne d’approvisionnement criminelle plus large impliquant développeurs, vendeurs, clients, exploitants de vitrines et de nombreux comptes WhatsApp.
Les propriétaires d’iPhones volés doivent être particulièrement prudents face aux appels ou messages inattendus affirmant que leur appareil a été récupéré. Un message contenant des informations exactes sur le téléphone manquant ne prouve pas que l’expéditeur représente Apple.
Apple conseille aux utilisateurs de ne jamais partager le code d’accès de leur appareil, le mot de passe de leur compte ou les codes de vérification avec une autre personne et avertit qu’elle ne contactera pas les utilisateurs pour signaler qu’un iPhone perdu a été retrouvé.