Pesquisadores de cibersegurança revelaram detalhes de uma plataforma de phishing-as-a-service (PhaaS) criada para remover o Activation Lock de dispositivos Apple roubados. O esquema usa agentes de voz de IA contratados para ligar para as vítimas de furto, se passando pelo suporte da Apple e pedindo o código de desbloqueio do aparelho.
A SOCRadar Threat Research Unit (STRU) informou que a plataforma, rastreada como AnonyMousKIT, opera com sistema de créditos e distribui iscas por cinco canais a partir de um único registro de vítima. O envio por e-mail custa 1,50 créditos, o SMS é precificado por sender ID, há WhatsApp, chamada de voz gravada por 1 crédito e agente de voz de IA por 2 créditos.
Os alvos são donos de dispositivos Apple perdidos ou roubados recentemente. As páginas e ligações pedem primeiro o código do aparelho, de 4 ou 6 dígitos, depois as credenciais do Apple ID e, por fim, um código de 2FA em tempo real. A própria Apple afirma que nunca solicita senha, código do dispositivo ou código de 2FA para prestar suporte.
“O AnonyMousKIT deve ser entendido não como um kit de phishing, mas como uma pequena empresa de software com uma base de clientes criminosos. Ele oferece pacotes de créditos, preços publicados, assinaturas em níveis, suporte ao cliente, acompanhamento de status e protocolos de substituição de infraestrutura”, disse a SOCRadar em relatório publicado na segunda-feira.
O Activation Lock, introduzido no iOS 7, vincula o hardware a um Apple ID específico e torna um celular roubado inutilizável até que a conta do proprietário seja removida. O recurso é ativado automaticamente quando o Find My está ligado e, mesmo após uma restauração de fábrica, mantém o dispositivo associado à conta original e exige autorização válida na configuração inicial.
As iscas citam o identificador interno de modelo da Apple do aparelho e o status ao vivo do Find My, ambos extraídos do próprio dispositivo roubado. Quem segue o link acessa uma página com a marca da Apple que exibe um mapa animado da localização informada do aparelho.
O canal de voz de IA é o vetor mais bem documentado depois do e-mail, com 200 registros de chamadas, 55 transcrições e cinco personas configuradas, recuperadas da conta do operador na plataforma comercial de voz Vapi. As chamadas ocorreram entre 31 de agosto de 2025 e 30 de maio de 2026, e 179 das 200 foram direcionadas a números no Brasil.
Na transcrição recuperada, o agente pede que a vítima confirme a posse do aparelho, depois solicita o código de 4 ou 6 dígitos e, em seguida, repete os números para confirmação. Depois, explica que alguém visitou uma Apple Store para remover o Activation Lock e pergunta se um link de recuperação foi recebido por mensagem. Os pesquisadores estimaram o custo total das 200 chamadas em US$ 19,24, ou cerca de US$ 0,096 cada.
A tabela de resultados do relatório atribui as 200 chamadas a quatro desfechos: 100 vítimas desligaram, 48 expiraram por silêncio, 24 não atenderam e 28 apresentaram erro na plataforma ou sinal de ocupado. O relatório não traz contagem de códigos, Apple IDs ou códigos de 2FA capturados em nenhum dos cinco canais.
Segundo a SOCRadar, o AnonyMousKIT está conectado a 506 domínios e alimenta um negócio amplo, com 168 marcas de lojas virtuais atuando como revendedoras. Uma varredura nesses domínios identificou 30 instalações distintas acessíveis em 42 domínios, com 188 dos 506 ainda ativas.
Os registros chegaram à SOCRadar por meio de dois caminhos relativos simples no código compartilhado, que apontam para a raiz web e permitem acesso HTTP sem autenticação. Cada implantação desse código herda a falha.
A instalação do AnonyMousKIT registrou 691 tentativas de envio entre março e julho de 2026, ante 6.092 em toda a rede de 30 backends. Três vitrines, i-Blocker, Key Unlock e KG-KING, entraram no ar no mesmo segundo em 10 de abril de 2026 e compartilhavam as mesmas contas de relay do Gmail.
A SOCRadar avaliou esse padrão como um único comprador operando três marcas, e não três clientes diferentes. Os pesquisadores registraram que as duas principais linhas de assunto foram “Your device has been found” e “Alert”, e que 627 dos 691 envios passaram por uma única conta gratuita do Gmail, noreplyapple00000[@]gmail[.]com.
As mensagens se passam pela Apple e afirmam que o dispositivo perdido foi localizado, informando o modelo correto, o identificador interno de modelo e os detalhes do IMEI para tornar o e-mail mais legítimo. Em 678 dos 691 casos, as iscas continham um token de localização com nome de cidade, incluindo Joanesburgo, Abuja, Buenos Aires, Maputo e Mumbai.
Os pesquisadores constataram ainda que uma pequena parcela dos e-mails enviados pela plataforma era destinada a organizações governamentais e corporativas. A África do Sul responde por 1.735 dos 6.092 envios totais da família, e 64 dos 691 envios do próprio AnonyMousKIT chegaram a domínios não voltados ao consumidor, incluindo 27 endereçados a órgãos do governo sul-africano.
A SOCRadar disse que esses destinatários foram selecionados porque tiveram seus dispositivos roubados, e não por causa de suas funções. De acordo com a empresa, as campanhas viabilizadas pelo AnonyMousKIT tinham alcance global, mas se concentravam mais na África do Sul, Indonésia, Itália, Índia, Quênia e Brasil.
Depois que os threat actors obtêm esses códigos, eles podem acessar os dados pessoais da vítima, restaurar o aparelho para as configurações de fábrica e removê-lo do aplicativo Find My antes de vendê-lo. A SOCRadar alerta que um ID Apple comprometido pode expor backups do iCloud, senhas do Keychain, e-mail corporativo e outras informações empresariais armazenadas em dispositivos Apple pessoais ou fornecidos pela empresa.
O relatório afirmou que as quatro ferramentas de desbloqueio oferecidas no painel servem como isca, já que 5.649 dos 6.092 dispositivos visados, ou 92,7%, usam silício A12 ou mais recente. O exploit de bootrom checkm8 alcança apenas chips A5 a A11, e a pesquisa aponta que os bypass técnicos se tornaram obsoletos agora que a Apple avançou além da geração compatível com o checkm8.
Um exploit público de bootrom para A12 e A13 foi divulgado em 18 de junho de 2026, dois meses antes do relatório, e sua proof of concept segue disponível. Seus autores o descrevem como um exploit de bootrom com tether, que exige posse física do aparelho e o modo de atualização de firmware do dispositivo (DFU), sem evidência de comprometimento do Secure Enclave.
A ferramenta de controle rebaixa o aparelho para o modo de produção ou inicializa uma imagem bruta do iBoot, e nenhuma dessas ações recupera o código do aparelho nem remove o Activation Lock. A SOCRadar descreveu o vetor de voz automatizado, impulsionado por LLM, como a principal inovação da plataforma.
Em março, a Mirage Security analisou um serviço de vishing por assinatura com conversão de texto em fala comercial integrada como recurso central, e o The Hacker News noticiou em maio um kit anterior de vishing com IA. A Infoblox Threat Intel documentou em maio o mesmo ecossistema de kits de desbloqueio usando telemetria de DNS e publicou uma lista de 4.244 domínios maliciosos detectados entre março de 2022 e maio de 2026.
“Ao combinar ferramentas técnicas e engenharia social, os ladrões agora têm um meio de desbloquear dispositivos em escala e tornar o roubo de celulares lucrativo”, disseram os pesquisadores da Infoblox Threat Intel, Maël Le Touz e Elena Puga.
Rótulos idênticos de segundo nível em diferentes domínios de topo indicam um padrão, e não uma atribuição a um único operador. A Apple, por sua vez, afirma que nunca pedirá que o usuário faça login em qualquer site, toque em Aceitar na janela de diálogo de autenticação de dois fatores, nem informe sua senha, código do dispositivo ou código de autenticação de dois fatores em qualquer site.
A Apple orienta os usuários a encaminhar e-mails e mensagens de texto de phishing com a marca da empresa para [email protected]. Os pesquisadores recomendaram migrar Apple IDs de alto valor para chaves físicas de segurança de hardware, o que, segundo eles, mitiga completamente a interceptação de 2FA em tempo real, objetivo final do golpe.
A Apple foi procurada para comentar a pesquisa; até o momento da publicação, a empresa não havia respondido. A divulgação ocorre no momento em que autoridades da Alemanha e dos Estados Unidos desmontaram o Kratos em julho, derrubando mais de 200 servidores, e autoridades da Indonésia prenderam o homem que, segundo elas, desenvolveu e operava a plataforma.
“A plataforma ainda estava funcionando no último dia da análise da SOCRadar. A empresa continua rastreando o sistema, suas vitrines-irmãs e a família mais ampla baseada no mesmo código, e informará mudanças materiais”, disse a empresa.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...