Un’operazione di phishing sofisticata prende di mira le persone i cui iPhone sono stati persi o rubati, utilizzando email automatiche, messaggi e chiamate telefoniche generate dall’IA per ottenere le credenziali necessarie a sbloccare i dispositivi.
Researchers at SOCRadar ha identificato la piattaforma come AnonyMousKIT, descrivendola come un’operazione di phishing come servizio progettata specificamente per automatizzare attacchi su diversi canali di comunicazione. Invece di affidarsi a un singolo messaggio di phishing, i clienti del servizio possono contattare ripetutamente la stessa vittima tramite email, SMS, WhatsApp, chiamate preregistrate e operatori vocali AI conversazionali.
L’obiettivo è ottenere un codice d’accesso per iPhone, un codice di autenticazione a due fattori o altre informazioni che possano aiutare i criminali a superare le protezioni di sicurezza di Apple e a rendere più facile la rivendita di un dispositivo rubato.
Gli aggressori creano innanzitutto un profilo del telefono rubato utilizzando informazioni come il modello, il numero di telefono associato e lo stato di Trova il Mio Dispositivo. Questi dettagli possono poi essere incorporati in messaggi personalizzati che rendono l’approccio più convincente.
Alcuni dei messaggi di phishing esaminati dai ricercatori affermavano che era stato trovato un iPhone scomparso. Un’email diceva al destinatario che un iPhone 15 Plus era stato rilevato vicino a un altro dispositivo Apple a Johannesburg e forniva un pulsante che avrebbe permesso al proprietario di visualizzarne la posizione. Un altro messaggio affermava che un iPhone 14 smarrito era stato trovato online.
L’operazione va oltre i messaggi scritti. SOCRadar ha recuperato documenti che mostrano che la tecnologia commerciale di intelligenza artificiale conversazionale veniva utilizzata per effettuare chiamate automatiche impersonandosi il personale di supporto Apple.
Una persona IA, chiamata “Alice”, era configurata per informare le vittime che qualcuno aveva tentato di rimuovere il blocco di attivazione dal loro dispositivo. L’agente poteva quindi chiedere il codice di accesso a quattro o sei cifre del telefono, richiedere un codice 2FA e indirizzare il bersaglio verso un sito di phishing.
I ricercatori hanno recuperato circa 200 record di chiamate AI, cinque persona IA e 55 trascrizioni di conversazioni. Circa il 90% delle chiamate recuperate ha riguardato numeri brasiliani. Sono stati identificati anche migliaia di tentativi su WhatsApp, mentre i ricercatori hanno contato 691 tentativi di email associati ad AnonyMousKIT e più di 6.000 nelle versioni correlate della piattaforma.
L’infrastruttura assomiglia a un servizio software commerciale piuttosto che a una semplice raccolta di pagine di phishing. Gli operatori possono acquistare crediti e gestire campagne tramite una dashboard contenente informazioni su ordini, saldi, link, tentativi bloccati e attacchi riusciti.
SOCRadar ha dichiarato che un errore di sviluppo ha esposto porzioni significative del backend dell’operazione, offrendo ai ricercatori una visione insolita della sua infrastruttura. La loro indagine ha identificato 30 installazioni backend in 42 domini che condividono lo stesso codice sottostante.
I risultati suggeriscono inoltre che AnonyMousKIT supporti una catena di approvvigionamento criminale più ampia che coinvolge sviluppatori, venditori, clienti, operatori di negozi e numerosi account WhatsApp.
I possessori di iPhone rubati dovrebbero essere particolarmente cauti riguardo a chiamate o messaggi imprevisti che affermano che il loro dispositivo è stato recuperato. Un messaggio contenente informazioni accurate sul telefono mancante non dimostra che il mittente rappresenti Apple.
Apple consiglia agli utenti di non condividere mai il codice di accesso del dispositivo, la password dell’account o i codici di verifica con un’altra persona e avverte che non contatterà gli utenti per segnalare che è stato trovato un iPhone smarrito.