AnonyMousKIT industrializza il furto di iPhone con phishing AI e 506 domini

🛡️ Executive Summary

• SOCRadar ricostruisce un ecosistema PhaaS dedicato agli iPhone rubati, con 506 domini, 168 storefront e centinaia di operatori attivi.
• AnonyMousKIT combina email, SMS, WhatsApp, chiamate registrate e vishing AI per convincere le vittime a consegnare le credenziali Apple.
• Errori di sviluppo hanno esposto log, roster degli operatori e relazioni tra reseller, permettendo di ricostruire dall’interno la supply chain criminale.

AnonyMousKIT trasforma il furto fisico di un iPhone in una filiera criminale digitale automatizzata, nella quale il ladro non deve più saper costruire personalmente una campagna di phishing. La piattaforma analizzata dalla SOCRadar Threat Research Unit vende crediti per inseguire la stessa vittima attraverso email, SMS, WhatsApp, chiamate registrate e persino agenti vocali basati su intelligenza artificiale che si presentano come assistenza Apple. Il fine è sottrarre le credenziali dell’Apple ID necessarie a rimuovere Activation Lock, restituendo valore commerciale a dispositivi che altrimenti rimarrebbero sostanzialmente inutilizzabili. Dietro il servizio emerge una supply chain molto più grande del singolo pannello: 506 domini e 168 marchi storefront riconducibili alla stessa famiglia di codice.

Activation Lock ha trasformato il furto di iPhone in una frode a due stadi

Nel report tecnico di SOCRadar il punto di partenza è l’effetto che Activation Lock ha avuto sul mercato degli iPhone rubati. La funzione, introdotta da Apple con iOS 7, lega il dispositivo all’Apple ID del proprietario e rende molto più difficile rivendere normalmente l’hardware senza conoscere le credenziali. Questo ha trasformato il furto in un processo a due fasi: prima ottenere fisicamente il telefono, poi convincere la vittima a cedere Apple ID e password. AnonyMousKIT nasce per industrializzare proprio la seconda fase, offrendo agli operatori non tecnici un pannello nel quale inserire i dati del dispositivo sottratto e avviare automaticamente una campagna multicanale. La specializzazione sugli account Apple richiama un ecosistema già osservato attorno a DarkSword e ai pannelli destinati a colpire iPhone e utenti iOS, ma qui il fulcro non è l’exploit del dispositivo: è la manipolazione del proprietario.

Il dispositivo rubato fornisce già i dati per rendere credibile l’esca

La piattaforma utilizza informazioni ottenute direttamente dal telefono rubato, comprese identificazioni interne del modello e stato Find My, per costruire messaggi apparentemente personalizzati. Nella famiglia di infrastrutture analizzata, SOCRadar ha contato 6.092 email di phishing, relative a 5.031 dispositivi indicati come online e 1.035 come locked.

Questo permette all’attaccante di presentarsi con dettagli che la vittima può riconoscere come plausibili. L’operatore non deve inventare una storia generica su un presunto problema dell’account: può affermare che uno specifico iPhone è stato ritrovato, localizzato o trattenuto e utilizzare informazioni reali del dispositivo per rendere più credibile il contatto. È la stessa direzione seguita dai PhaaS più moderni, nei quali JWR adatta dinamicamente la sessione in base alle informazioni raccolte dalla vittima, riducendo drasticamente la distanza tra frode automatizzata e social engineering personalizzato.

Cinque canali diversi inseguono la stessa vittima fino alla resa

AnonyMousKIT organizza il phishing come un processo multi-channel persistence. L’operatore inserisce una volta il profilo della vittima e il sistema può raggiungerla attraverso cinque modalità: email, SMS, WhatsApp, chiamate vocali preregistrate e chiamate generate da agenti AI. Ogni canale consuma crediti e può essere utilizzato fino a quando l’attaccante non ottiene il risultato desiderato. SOCRadar ha recuperato evidenze di 691 tentativi email su uno dei backend, 5.230 caricamenti del modulo WhatsApp e 200 chiamate AI.

L’impostazione è quella di un CRM criminale: un profilo passa da un canale all’altro senza che l’operatore debba ricostruire manualmente la campagna. È un’evoluzione ulteriore rispetto ai PhaaS come Kali365 e Greatness, che già vendono l’intera catena dal phishing all’utilizzo dell’account compromesso.

Alice di Apple Support è un agente AI affittato a pochi centesimi per chiamata

Il livello più interessante è il vishing automatizzato con AI conversazionale. SOCRadar ha recuperato prompt, artefatti degli account utilizzati e 55 trascrizioni relative a 200 chiamate effettuate con agenti vocali commerciali. Le diverse configurazioni in inglese, spagnolo e portoghese brasiliano condividono lo stesso personaggio: “Alice from Apple Support”. L’agente inserisce nella conversazione i dettagli della vittima e sostiene, per esempio, di stare indagando su un iPhone rubato successivamente recuperato dalle autorità. Le 200 chiamate osservate sono costate complessivamente appena 19,24 dollari, con circa il 90% diretto verso il Brasile. Il dato economico mostra il vero vantaggio dell’AI per il cybercrime: non serve necessariamente creare attacchi tecnicamente nuovi, basta abbassare drasticamente il costo del lavoro umano necessario per mantenere centinaia di conversazioni credibili. La crescita del phishing assistito dall’AI e dei sistemi capaci di aggirare l’MFA sta quindi entrando direttamente nei processi commerciali del PhaaS.

Gmail viene usato come relay affidabile per quasi tutte le email consegnate

La piattaforma evita anche di costruire integralmente un’infrastruttura di invio propria. SOCRadar osserva che il 97,7% delle email consegnate, 589 su 603 in uno dei dataset analizzati, è passato attraverso un singolo account Gmail gratuito, configurato per apparire come un mittente Apple no-reply.

Utilizzare un relay appartenente a un provider noto permette di beneficiare della reputazione dell’infrastruttura legittima e di ridurre parte dei problemi di deliverability che affliggono i server SMTP criminali improvvisati. Non significa che Gmail renda automaticamente credibile il messaggio, ma mostra ancora una volta come i servizi PhaaS cerchino di affittare la fiducia di piattaforme legittime invece di costruire ogni componente da zero.

I falsi tool di sblocco servono soprattutto ad attirare nuovi clienti criminali

Il pannello offre inoltre quattro presunti strumenti gratuiti per sbloccare iPhone, compresi tool basati su tecniche checkm8 e palera1n. SOCRadar evidenzia però un’incongruenza determinante: checkm8 funziona sui chip Apple da A8 ad A11, mentre i dispositivi osservati nelle campagne sono prevalentemente A12 o successivi. Questi tool non possono quindi risolvere realmente il problema per la maggior parte delle vittime prese di mira. Secondo i ricercatori servono soprattutto da esca commerciale per i ladri, che entrano nel pannello sperando in uno sblocco tecnico gratuito e vengono poi spinti verso i servizi di phishing a pagamento. È una supply chain che vende una soluzione criminale a un altro criminale, non soltanto un attacco rivolto alla vittima finale.

506 domini e 168 marchi nascondono un unico ecosistema di reseller

L’aspetto più rilevante dell’indagine riguarda l’estensione della rete. Un’analisi dei file condivisi e di un hash relativo a legacy.js ha permesso a SOCRadar di collegare 506 domini e 168 storefront brand alla stessa famiglia di codice, attiva almeno da febbraio 2024.

La struttura non sembra quindi essere composta da centinaia di PhaaS indipendenti, ma da un modello reseller nel quale diversi acquirenti licenziano il backend e lo ripubblicano sotto nomi differenti. Tre marchi — i-Blocker, Key Unlock e KG-KING/i-Realm — risultano addirittura avviati nello stesso secondo il 10 aprile 2026, utilizzando gli stessi relay Gmail e la stessa base di operatori. La moltiplicazione dei brand serve quindi a creare l’impressione di un mercato frammentato che in realtà poggia su componenti condivisi.

I log esposti ricostruiscono centinaia di operatori e migliaia di attività

La parte più ironica dell’operazione è che un ecosistema capace di utilizzare AI conversazionale, automazione multicanale e infrastrutture distribuite è stato esposto da errori di programmazione elementari. L’uso di bare relative paths ha reso accessibili file che non avrebbero dovuto esserlo, permettendo ai ricercatori di recuperare 120.242 righe di log email e 166.052 righe relative a WhatsApp soltanto dall’istanza AnonyMousKIT, oltre ai dataset equivalenti delle altre installazioni. L’analisi ha fatto emergere 689 diversi account operatori WhatsApp nell’intera famiglia, due amministratori e numerosi handle lasciati direttamente nelle interfacce. È un contrasto ricorrente nel cybercrime contemporaneo: sofisticazione nel prodotto destinato alla vittima e opsec mediocre nel backend che lo gestisce.

La piattaforma era ancora operativa ad agosto 2026

La timeline mostra un’attività prolungata. Il codice condiviso compare almeno dal febbraio 2024, le prime personalità AI vengono costruite nel marzo 2025, mentre la prima chiamata vishing recuperata risale al 31 agosto 2025. Il picco dell’infrastruttura arriva nell’autunno successivo; nel marzo 2026 iniziano i log SMTP disponibili ai ricercatori e le operazioni proseguono durante tutta la primavera e l’estate. SOCRadar ha osservato attività degli operatori fino al 10 agosto 2026, confermando che AnonyMousKIT non rappresenta soltanto un archivio storico ma un servizio ancora vivo durante la fase della ricerca.

Rubare un Apple ID può aprire molto più di un iPhone

Il danno non termina necessariamente con la rimozione di Activation Lock. Un Apple ID compromesso può offrire accesso a iCloud, backup, fotografie, messaggi sincronizzati e, a seconda della configurazione dell’account e del dispositivo, a informazioni conservate nel portachiavi. Per utenti aziendali o professionisti questo trasforma un furto di smartphone in un possibile incidente di sicurezza più ampio. Un iPhone rubato può quindi diventare il punto iniziale per tentare di ottenere credenziali personali, token, dati cloud e accessi collegati ad altri servizi, aumentando enormemente il valore dell’account rispetto al solo hardware.

AnonyMousKIT mostra soprattutto quanto il Phishing-as-a-Service sia diventato una vera supply chain. C’è chi sviluppa il backend, chi acquista una licenza e crea il proprio marchio, chi compra crediti, chi materialmente possiede il telefono rubato e chi utilizza email, WhatsApp o un agente vocale AI per convincere la vittima. Il risultato è un modello nel quale il criminale che ruba l’iPhone non deve più essere anche un phisher, un programmatore o un operatore di call center. Deve soltanto acquistare il servizio giusto. Ed è proprio questa separazione delle competenze, più ancora dell’intelligenza artificiale, a rendere AnonyMousKIT una piattaforma particolarmente significativa per l’evoluzione del cybercrime.