Недавно обнаруженная платформа PhaaS под названием AnonyMousKIT автоматизирует получение кодов, используемых для разблокировки украденных устройств Apple и отключения функции блокировки активации. Подпольный сервис действует с начала 2024 года и поддерживает работу структурированной экосистемы, которая продает украденные iPhone, собирает Apple ID, получает доступ к резервным копиям iCloud и учетным данным Keychain. Исследователи SOCRadar препарировали платформу и смогли собрать информацию о работе сервиса, его операторах и инфраструктуре. AnonyMousKIT подключен к 506 доменам и обеспечивает работу разветвленного бизнеса, в котором 168 брендов, представляющих интернет-магазины, выступают в качестве реселлеров. Исследователи восстановили записи 200 звонков, совершенных жертвам в период с августа 2025 года по май 2026 года, используя 55 различных стенограмм взаимодействий, обработанных голосовым ИИ-агентом, работающим под пятью разными псевдонимами. SOCRadar отмечает, что звонки обходились оператору примерно в 0,10 доллара за попытку. Причем 90% звонков были совершены в Бразилию. Функция блокировки активации Apple автоматически активируется при включении службы отслеживания «Найти iPhone» и связывает устройство iPhone с учетной записью Apple владельца. Даже если украденное устройство сброшено до заводских настроек, оно остается привязанным к учетной записи первоначального владельца и требует ввода действительного кода авторизации при первой настройке, прежде чем его можно будет использовать. AnonyMousKIT извлекает информацию с украденных устройств, например, контактные данные владельца, предоставленные через функцию «Режим пропажи», и использует ее для связи с владельцем по электронной почте, SMS, WhatsApp или телефону. Фишинговые сообщения выдаются за сообщения от Apple, в них утверждается, что пропавшее устройство найдено с указанием правильной модели и IMEI, чтобы электронное письмо выглядело правдоподобно. В электронном письме жертву перенаправляют на фейковую страницу «Найти мой Apple» или «Apple», где предлагается ввести пароль от устройства, учетные данные Apple Account и код двухфакторной аутентификации. В некоторых случаях, исследованных SOCRadar, агент ИИ с позывным «Алиса из службы поддержки Apple» сообщает жертвам, что кто-то, пытавшийся разблокировать телефон, принес его в магазин Apple, где устройство было изъято. Затем ИИ-агент просит жертву подтвердить право собственности, продиктовав пароль, после чего направляет её на фишинговую страницу. Получив нужные коды, злоумышленники получают доступ к личным данным жертвы, сбрасывают устройство до заводских настроек и удаляют его из приложения «Найти мой телефон», прежде чем продать его. Взлом Apple ID может приводит к утечке резервных копий iCloud, паролей Keychain, рабочей электронной почты и другой информации, хранящейся на устройствах Apple. Исследователи обнаружили, что небольшой процент электронных писем, отправленных с этой платформы, был направлен правительственным и крупным организациям. По данным SOCRadar, кампании с использованием AnonuMousKIT имели глобальный охват, но были в большей степени сосредоточены на Южной Африке, Индонезии, Италии, Индии, Кении и Бразилии.