盗難iPhoneのロック解除狙うAI音声フィッシング基盤が判明、Appleサポート装いパスコードや2FAコードを要求

要点

• セキュリティ企業SOCRadarが、盗難・紛失したApple端末のロック解除を狙うPhaaS基盤「AnonyMousKIT」の調査結果を公開した。

• Appleサポートを装うAI音声通話やメール等を通じ、被害者から端末パスコード、Apple ID情報、2要素認証コードを聞き出す。

• 商用音声基盤「Vapi」を悪用したAI架電は1回あたり約9.6セントと安価で、実端末の識別子や位置情報を騙って信用させていた。

• 基盤プログラムの認証不備から内部ログが露出し、30系統におよぶバックエンドや数千件規模の送信実態が判明した。

• 盗難や紛失に遭ったApple製端末のアクティベーションロックを強制解除させるため、AI音声通話や偽サイトを組み合わせた攻撃基盤の存在が判明した。サイバーセキュリティ企業SOCRadarの脅威リサーチユニット（STRU）の報告によると、「AnonyMousKIT」と呼ばれるこの基盤は、犯罪者向けに攻撃ツールを有償提供する「フィッシング・アズ・ア・サービス（PhaaS）」として組織的に運用されているという。

犯罪者向けに体系化されたPhaaS基盤「AnonyMousKIT」

AnonyMousKITは、盗難・紛失したiOS端末の「アクティベーションロック」解除を目的に設計された攻撃基盤だ。アクティベーションロックはiOS 7で導入されたセキュリティ機能で、端末と所有者のApple IDを紐付け、アカウントを解除しない限り第三者による再利用を防ぐ役割を持つ。

SOCRadarは、同基盤を「単なるフィッシングキットではなく、犯罪者を顧客とする小規模なソフトウェアビジネス」と評価している。クレジット制の料金体系や段階的サブスクリプション、公開価格表、サポート窓口、追跡機能を完備。被害者1件につき、メール（1.50クレジット）、SMS、WhatsApp、録音音声通話（1クレジット）、AI音声エージェント（2クレジット）の計5チャネルからアプローチできる仕様となっている。

実端末のデータと地図表示を悪用した多段階の手口

攻撃対象は最近端末を紛失・盗難されたユーザーで、メッセージには盗難端末から吸い上げた内部モデル識別子や「探す（Find My）」のリアルタイムステータスが記載され、信憑性を高めている。

被害者がリンクを開くと、端末の現在地をアニメーション地図で表示する偽ページ（「/help?TOKEN」形式）に誘導され、4桁または6桁のパスコード、Apple ID情報、リアルタイムの2要素認証（2FA）コードを順に要求される。なお、Appleの公式ガイダンスでは、サポート提供時にパスワードやパスコード、2FAコードの提示を求めることは絶対にないと明記されている。

商用AI基盤「Vapi」を悪用した1回9.6セントの自動架電

調査では、商用音声基盤「Vapi」を悪用したAI通話の手口が詳しく判明した。特定された5つのペルソナはいずれも「Appleサポートのアリス」を名乗り、英語、スペイン語、ポルトガル語に対応していた。

通話は2025年8月31日〜2026年5月30日に実施され、200件中179件がブラジル宛てだった。AIは所有者確認を行ってパスコードを聞き出して復唱し、「Apple Storeで誰かがロック解除を試みた」と偽ってSMSの復旧リンクを確認させる。通話総額は19.24ドル（1回あたり約9.6セント）と極めて安価だった。結果の内訳は切断100件、無応答48件、不在24件、エラー等28件で、情報奪取の成功件数は報告書に記載されていない。なお、Vapi社への通報有無や稼働状況の公式発表はない。

コードの脆弱性によるログ露出と攻撃インフラの広がり

AnonyMousKITの実態が発覚した発端は、共有コードベースに未認証でHTTPアクセス可能な相対パスの脆弱性が存在し、内部ログが外部露出したことだ。

調査では関連506ドメイン中188件が稼働し、42ドメイン上で30の独立したバックエンドを確認。送信試行は単一環境で691件（2026年3〜7月）、全体で6,092件に達していた。また、2026年4月10日の同一秒に開設された3店舗（i-Blocker、Key Unlock、KG-KING）が同一Gmailリレーを共有しており、1人の購入者が複数ブランドを運営していたとみられる。

メール件名は「Your device has been found」（308件）や「Alert」（157件）が多く、送信元表示名はAppleやFind Myを偽装。約9割（627件）が無料Gmail（noreplyapple00000[@]gmail[.]com）経由で、678件にヨハネスブルグなど都市名トークンが含まれていた。