AnonyMousKIT, il phishing-as-a-service che usa voci IA per rubare i passcode degli iPhone

La scoperta di SOCRadar e la piattaforma

Il 25 agosto 2026 la società di threat intelligence SOCRadar ha pubblicato un’analisi su AnonyMousKIT, una piattaforma di phishing-as-a-service attiva dall’inizio del 2024. I ricercatori sono riusciti a raccogliere informazioni su funzionamento, operatori e infrastruttura sfruttando l’uso di percorsi relativi esposti da parte dell’operatore. AnonyMousKIT automatizza il recupero dei codici necessari per sbloccare iPhone rubati e disattivare l’Activation Lock di Apple. La piattaforma dispone di un pannello di gestione che consente agli affiliati di controllare le campagne. Il modello di business si basa su rivenditori: 168 brand storefront operano come punti di vendita del servizio illecito.

Come funziona la catena dell’attacco

L’Activation Lock di Apple si attiva automaticamente quando è attivo il servizio Dov’è e collega l’iPhone all’Account Apple del proprietario. Anche dopo un ripristino di fabbrica, il dispositivo resta legato all’account e richiede un codice di autorizzazione valido al primo setup. AnonyMousKIT aggira questa protezione attaccando il proprietario, non il dispositivo. La piattaforma estrae dai dispositivi rubati le informazioni di contatto della vittima, per esempio quelle fornite tramite la funzione Modalità Smarrito. Contatta poi il proprietario via email, SMS, WhatsApp o telefonata. I messaggi impersonano Apple e affermano che il dispositivo smarrito è stato localizzato. Includono modello e IMEI corretti per apparire legittimi. L’email conduce a una pagina falsa Dov’è o Apple in cui la vittima deve inserire passcode del dispositivo, credenziali dell’Account Apple e codice di autenticazione a due fattori. In alcuni casi esaminati da SOCRadar, un agente vocale IA con il personaggio “Alice from Apple Support” dice alla vittima che qualcuno ha portato il telefono in un Apple Store e che il dispositivo è stato trattenuto. Chiede quindi di confermare la proprietà dettando il passcode e poi indirizza alla pagina di phishing. Una volta ottenuti i codici, gli attaccanti possono accedere ai dati personali della vittima, ripristinare il dispositivo, rimuoverlo da Dov’è e rivenderlo.

Infrastruttura, costi e portata globale

L’infrastruttura di AnonyMousKIT è collegata a 506 domini, un numero che riflette la necessità di rotazione rapida per eludere i blocchi. SOCRadar ha recuperato registri di 200 chiamate effettuate verso vittime tra agosto 2025 e maggio 2026. Le 55 trascrizioni di interazioni distinte mostrano un agente vocale IA configurato con cinque personaggi, tra cui “Alice from Apple Support”. Le chiamate costano all’operatore circa 0,10 dollari per tentativo, un costo basso che rende la telefonia un canale accessibile anche per campagne su larga scala. Il 90% delle chiamate è stato diretto verso numeri brasiliani. Le campagne hanno impronta globale, ma risultano più concentrate in Sudafrica, Indonesia, Italia, India, Kenya e Brasile.

L’impatto su utenti privati e organizzazioni

Un Apple ID compromesso può esporre backup iCloud, password del portachiavi Keychain, email aziendali e altre informazioni corporate archiviate su dispositivi personali o assegnati dall’azienda. SOCRadar segnala che una piccola percentuale delle email inviate dalla piattaforma è stata indirizzata a organizzazioni governative e aziende. Gli iPhone rubati, una volta sbloccati, acquistano maggiore valore e possono essere rivenduti con eventuale accesso a dati sensibili. Il danno non si limita alla perdita del dispositivo: include il furto di identità, l’accesso a servizi collegati all’Account Apple e potenziali violazioni di dati aziendali.

Difese limitate: l’Activation Lock non basta

L’analisi di SOCRadar non elenca mitigazioni specifiche. L’Activation Lock esiste come protezione Apple, ma nel servizio AnonyMousKIT viene aggirato tramite phishing diretto al proprietario. La regola fondamentale resta non fornire mai il passcode o i codici di autenticazione a due fattori a chiunque, anche se la richiesta sembra provenire da Apple. Apple non chiede mai il passcode per telefono o via email. Se si riceve una chiamata o un messaggio sospetto, è meglio interrompere la comunicazione e contattare Apple tramite i canali ufficiali. I dipendenti di organizzazioni governative e aziende dovrebbero ricevere formazione specifica su questo tipo di attacco, dato che i loro account sono bersagli appetibili.

Il contesto: voci IA e difese sotto pressione

L’uso di agenti vocali IA rende il phishing più credibile e scalabile. AnonyMousKIT non è un episodio isolato: rappresenta l’evoluzione delle piattaforme PhaaS, che trasformano attacchi complessi in servizi a basso costo. Un dato del Blue Report 2026, citato nella stessa pubblicazione, indica che una volta che gli attaccanti dispongono di credenziali valide, solo il 37% delle loro azioni viene bloccato. Il report misura le difese tecnica per tecnica su 338 milioni di simulazioni eseguite in ambienti di produzione dei clienti. In questo scenario, il fattore umano resta il punto di ingresso più sfruttato.