״נציגת Apple״ מבוססת AI מתקשרת לבעלי אייפונים גנובים כדי לשחרר את הנעילה
חוקרי SOCRadar חשפו את AnonyMousKIT, שירות פישינג להשכרה שעוזר לגנבי טלפונים לשכנע את הבעלים למסור קוד נעילה, סיסמת Apple ID וקוד אימות. חלק מהשיחות מנהל בוט קולי מבוסס AI.
TL;DR בקצרה
- SOCRadar פרסמה ב-24 באוגוסט 2026 מחקר על AnonyMousKIT, פלטפורמה שמוכרת לגנבים כלים לעקיפת נעילת ההפעלה של אייפונים גנובים.
- הקורבנות מקבלים הודעה שמישהו מצא את המכשיר, בדוא״ל, SMS, WhatsApp או בשיחה, ומתבקשים למסור קוד מכשיר, סיסמת Apple ID וקוד אימות דו-שלבי.
- בוט קולי מבוסס AI בשם ״אליס, תמיכת Apple״ ביצע 200 שיחות שעלו יחד כ-19 דולר.
- Apple מבהירה שהיא לעולם לא מבקשת סיסמה, קוד מכשיר או קוד אימות כדי לתת תמיכה.
מי שאיבד אייפון מחכה להודעה שמישהו מצא את המכשיר. על הרגע הזה בנויה AnonyMousKIT, שירות פישינג להשכרה לגנבי טלפונים. השירות מספק לגנבים הודעות, אתרים מזויפים ואפילו נציגה קולית מבוססת AI. המטרה: לשכנע את הבעלים למסור את הפרטים שמשחררים את נעילת המכשיר.
חברת מודיעין האיומים SOCRadar פרסמה את המחקר ב-24 באוגוסט 2026. לדבריה, הפלטפורמה עדיין פעלה ביום האחרון של החקירה.
איך AnonyMousKIT מגיעה מ״מצאנו את המכשיר״ לקוד האימות
נעילת ההפעלה (Activation Lock) של Apple הופכת אייפון גנוב לכמעט חסר ערך. בלי פרטי ה-Apple ID של הבעלים, אי אפשר לאפס אותו ולמכור אותו כמכשיר תקין. לכן גנבים מוכרים אותו בדרך כלל לחלקים. AnonyMousKIT נועדה לסגור את הפער הזה.
לפי SOCRadar, הגנב מזין את המספר הסידורי או את ה-IMEI של המכשיר. המערכת שולפת את הדגם ואת מצב Find My שלו. אחר כך יוצאת הודעה לבעלים: בדוא״ל, ב-SMS, ב-WhatsApp, בהקלטה קולית או בשיחה עם בוט קולי.
ההודעה מספרת שמישהו מצא את המכשיר, ומפנה לעמוד מזויף בעיצוב של Apple. בעמוד יש מפה שמראה כביכול את מיקום הטלפון. שם, או בשיחה, הקורבן מתבקש למסור שלושה פרטים. הראשון הוא קוד הנעילה של המכשיר, בן ארבע או שש ספרות. השני הוא שם המשתמש והסיסמה של ה-Apple ID. השלישי הוא קוד האימות הדו-שלבי שמגיע באותו רגע.
הפרטים מגיעים ללוח הבקרה של המפעיל, ובמקביל לערוץ Telegram. הגנב משתמש בהם כדי להסיר את הנעילה ולהכין את המכשיר למכירה.
הדוא״ל הוא ערוץ ההפצה המרכזי. המפעילים שולחים את ההודעות מחשבונות Gmail ו-iCloud חינמיים. החשבונות מתחזים לכתובות ״no-reply״ של Apple או של Find My. החוקרים מנו 6,092 הודעות פישינג ב-30 התקנות שונות של הערכה. הם ספרו גם 5,031 מכשירים שסומנו כמטרות.
״אליס דיאס, תמיכת Apple״: שיחה ב-10 סנט
החלק הבולט במחקר הוא הבוט הקולי. לפי SOCRadar, הוא פועל על פלטפורמת VAPI.ai, עם מודלים של OpenAI וקולות של ElevenLabs. החוקרים זיהו חמש גרסאות שלו, באנגלית, בספרדית ובפורטוגזית. בכולן הבוט מציג את עצמו כ״אליס דיאס מתמיכת Apple״.
לפי התסריט, מישהו ניסה לפתוח את המכשיר בחנות Apple. החנות פתחה כביכול תיק שחזור ומחזיקה בטלפון. הבוט מבקש מהבעלים להקריא את קוד הנעילה כדי ״לאמת בעלות״. אחר כך מגיע קישור, והבוט מלווה את הקורבן עד שהוא מזין את הקוד.
החוקרים שחזרו 200 שיחות כאלה, מסוף אוגוסט 2025 ועד סוף מאי 2026. 179 מהשיחות הגיעו למספרים בברזיל. העלות הכוללת של כל 200 השיחות הייתה 19.24 דולר, כלומר כ-9.6 סנט לניסיון. רוב הקורבנות ניתקו מהר. אבל המספרים ממחישים את הבעיה: שיחת הונאה משכנעת בשפת הקורבן עולה פחות מהודעת SMS בחלק מהמדינות.
גם הדרך שבה החוקרים חשפו את AnonyMousKIT מלמדת משהו על התעשייה הזו. המפתחים עשו טעויות קוד בסיסיות, וכך חשפו יומנים ורשימות מפעילים. מהם החוקרים מיפו שרשרת הפצה של 506 דומיינים ו-168 ״חנויות״ עם מיתוג משלהן. החנויות פועלות מאז תחילת 2024.
SOCRadar מתארת את המבנה כעסק קטן לפיתוח קוד, עם לקוחות מהעולם הפלילי. יש מפתח שבונה ומוכר, קונים שמפעילים חנויות, ומפעילים ששולחים את ההודעות.
למה AnonyMousKIT היא עניין של העסק, לא רק של בעל הטלפון
חשבון Apple ID פרוץ הוא לא רק טלפון למכירה. לפי SOCRadar, הוא עשוי לחשוף גיבויי iCloud, סיסמאות שמסונכרנות ב-Keychain ודוא״ל של העבודה. בקמפיין של AnonyMousKIT יצאו 64 הודעות לכתובות של 24 ארגונים. בין הארגונים יש משרדי ממשלה ומוסד אקדמי.
המפעילים בחרו קורבנות לפי המכשיר הגנוב, ולא לפי מקום העבודה. אבל מי שמחזיק סיסמאות ארגוניות בטלפון הפרטי מעביר את הסיכון לעסק.
מה זה אומר עבורכם
- Apple לא מבקשת קודים: החברה לא מבקשת סיסמה, קוד מכשיר או קוד אימות כדי לתת תמיכה. כך כתוב בהנחיות של Apple. שיחה או הודעה שמבקשות אותם הן הונאה, גם דקות אחרי הגניבה.
- הפעילו הגנה על מכשיר גנוב: ב-iOS 17.3 ומעלה יש Stolen Device Protection. התכונה מחייבת Face ID או Touch ID ושעת המתנה לפני שינוי סיסמת החשבון. זה קורה כשהטלפון מחוץ למקומות מוכרים. בדקו ב״הגדרות״, ״Face ID וקוד גישה״ שהיא פעילה.
- אחרי גניבה, פעלו מהר: סמנו את המכשיר כאבוד ב-Find My. החליפו את סיסמת ה-Apple ID ממכשיר אחר. אל תלחצו על קישורים בהודעות מסוג ״מצאנו את המכשיר״. היכנסו לחשבון רק דרך האפליקציה או האתר הרשמי.
- בארגון, הכינו תוכנית פעולה: טלפון גנוב של עובד מצדיק מחיקה מרחוק דרך מערכת ניהול המכשירים. הוא מצדיק גם איפוס סיסמאות לחשבונות הארגוניים. SOCRadar ממליצה גם לחסום דומיינים שנרשמו ב-30 הימים האחרונים. בנוסף, היא ממליצה לשקול מפתחות אבטחה פיזיים לחשבונות רגישים.
- פנו אליכם "נציגי שחזור"? איך מזהים שירות שחזור מזויף, במדריך של AccRevert (באנגלית).
מה הלאה עם AnonyMousKIT
SOCRadar ממשיכה לעקוב אחרי הערכה ואחרי החנויות שחולקות את הקוד שלה. השילוב בין שירות פלילי בתשלום לבין בוט קולי זול ורב-לשוני מוריד את רף הכניסה. לכן סביר שנראה תסריטים דומים גם סביב שירותים אחרים. הכוונה לשירותים שבהם קוד אימות אחד פותח את כל החשבון.
מקורות והרחבה
- Exposing AnonyMousKIT: AI-Powered PhaaS Supply ChainSOCRadar
- AnonyMousKIT phishing-as-a-service uses AI voice calls to steal iPhone passcodesHelp Net Security
- Recognize and avoid social engineering schemesApple Support
- About Stolen Device Protection for iPhoneApple Support
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
