Identificam plataforma AnonyMousKIT de phishing para remover Activation Lock em iPhone e iPad

Pesquisadores de cibersegurança documentaram uma plataforma de phishing como serviço orientada para eliminar a proteção de Activation Lock iPhones e iPads roubados, combinando páginas web falsificadas e agentes de voz automáticos com inteligência artificial para enganar as vítimas. A análise pública provém do equipamento SOCRadar Threat Research Unit (STRU) e descreve um produto comercializado a criminosos: painéis com preços por crédito, canais múltiplos de contato e ferramentas para gerenciar campanhas contra dispositivos perdidos ou sustraídos.

Atos confirmados: SOCRadar identificou uma família de kits que rastrea como AnonyMousKIT, com uma arquitetura que permite disparar campanhas desde um único registro de vítima para cinco vetores (email, SMS, WhatsApp, chamada gravada e chamada de agente de voz AI). A plataforma está “credit-metered”: cada ação tem um custo em créditos (por exemplo, o correio 1.50 créditos, a chamada com agente AI 2 créditos). Os pesquisadores recuperaram 200 registros de chamadas automáticas entre 31 de agosto de 2025 e 30 de maio de 2026, das quais 179 foram a números no Brasil; o custo total estimado para essas 200 chamadas foi de 19,24 dólares (cerca de0,096 USD por chamada). SOCRadar também registrou 691 remessas de uma instalação de AnonyMousKIT entre março e julho de 2026 e contabilizou 6.092 remessas em 30 backends relacionados dentro da família de kits.

Como funciona tecnicamente (confirmado pelo relatório): os operadores integram dados extraídos do dispositivo roubado — como o identificador interno de modelo e o estado em Find My — em lures personalizados. A vítima recebe um link para uma página contrafeita com aparência oficial que mostra um mapa animado da localização relatada do dispositivo e solicita, em ordem, o código de desbloqueio do dispositivo (4 ou 6 dígitos), as credenciais do Apple ID e um código de autenticação de dois fatores (2FA) recebido em tempo real. No ramo de voz, são usados agentes TTS (texto a voz) com identidades preparadas ('Alice from Apple Support' em vários idiomas) que simulam chamadas de suporte e pedem confirmar o passcode em voz.

Aspectos verificados da campanha: a maioria dos e-mails usaram assuntos como “Your device has been found” e “Alert”, e em centenas de envios o endereço remetente aparentava ser da Apple; grande parte do e-mail saiu de contas do Gmail gratuitas controladas pelo kit. Uma digitalização detectou centenas de domínios da família (506 labels com 188 vivos e 30 instalações distintas detectadas em 42 domínios), e os operadores publicaram painéis comerciais com nomes de loja (por exemplo, i-Blocker, Key Unlock, KG-KING) que compartilham infra-estruturas.

O que ainda está sem confirmação ou é incerto: o relatório não documenta uma contagem pública de credenciais ou códigos 2FA efetivamente capturados nessas interações; as métricas públicas sobre resultados de campanha na amostra de 200 chamadas indicam que 100 penduraram, 48 terminaram por tempo de silêncio, 24 não responderam e 28 toparam com erros de plataforma ou linhas ocupadas. Não há nenhuma evidência pública nesse relatório de que a conta comercial do fornecedor de voz (identificada como Vapi nos registos encontrados) tenha sido relatada ou desactivada; o SOCRadar não afirma se as operações continuam ativas neste momento e indicou que continuará a rastrear mudanças.

Contexto técnico chave e limitações: Activation Lock liga o hardware a um Apple ID do iOS 7, o que impede o uso se a conta do proprietário não for removida. A pesquisa destaca que a maioria dos objetivos — mais de 92% na amostra ampla — são dispositivos com chips A12 ou posteriores, o que indica que os autores não dependem de exploits públicos antigos (por exemplo checkm8 afeta A5‐A11). Embora tenha sido publicado um exploit de bootrom para A12/A13 em junho de 2026, seus autores descrevem que requer acesso físico, modo DFU (tethered) e não desmonta o enclave seguro nem recupera o passcode; portanto, a via técnica realista para saltar Activation Lock à distância ainda é limitada. A conclusão: o elo exploável com mais impacto é a engenharia social em tempo real para extrair passcodes e códigos 2FA.

Consequências práticas: a inovação mais perigosa é a automação de vishing com modelos de linguagem e TTS integrados em uma ferramenta comercial. Isso reduz os custos de execução e permite campanhas a nível de vítimas de roubo, tornando rentável o comércio de dispositivos roubados. Para as vítimas, a exposição mais imediata não vem de uma falha técnica no hardware, mas de revelar o código de desbloqueio e o 2FA a um interlocutor que parece legítimo em tempo real.

Recomendações concretas para os usuários (acção imediata): nunca forneça o seu código do dispositivo (passcode), senha da Apple ID ou códigos 2FA por telefone, SMS ou através de formulários web. A Apple afirma publicamente que nunca pede senhas, códigos de dispositivo ou códigos 2FA para suporte; se você recebe comunicações suspeitas reenviadas ao reportphishing@apple.com e contacte a Apple por canais oficiais (veja a sua conta no appleid.apple.com ou o suporte da app ou web oficial). Mude a senha do Apple ID se suspeitar que houve exposição e revisão de dispositivos e sessões ativas da página de administração do Apple ID. Além disso, peça ao operador móvel que bloquee o SIM para evitar port-out e desactive ou remova números de confiança se tiverem sido comprometidos.

Medidas de mitigação mais fortes (recomendadas por especialistas e citadas pelos pesquisadores): migrar contas Apple com alto risco para chaves físicas de segurança (hardware security keys, FIDO2/WebAuthn), pois essas chaves impedem o ataque de intercepção de 2FA em tempo real que a plataforma persegue. Active a verificação em duas etapas com chaves físicas quando possível, use senhas longas e únicas, e considere activar a lista branca de dispositivos e alertas de segurança. Se o seu dispositivo foi roubado, coloque o dispositivo em Modo Perdido e siga as instruções oficiais para apagar remoto apenas como último recurso; documente o roubo para a denúncia policial e conserve qualquer evidência de comunicações fraudulentas.

Implicações mais amplas: a comercialização de ferramentas criminosas com painéis, preços, suporte e substituição de infraestrutura reduz a barreira de entrada para atores menores e atomiza a ameaça. A combinação de vetores (email, SMS, mensagens, chamadas gravadas e chamadas AI) permite perseguir vítimas em seu canal preferido. Como precaução a nível comunitário, os prestadores de serviços de voz e de mensagens devem melhorar controlos contra o abuso comercial das suas APIs e das plataformas de TTS devem ter políticas e mecanismos para detectar e bloquear identidades falsas que imitem suporte oficial.

Fontes e recursos úteis: a análise técnica foi publicada pela SOCRadar (ver seu portal para relatórios e atualizações) e a própria Apple mantém guias para reportar phishing e recomendações sobre o que não compartilhar com suporte (ver ajuda oficial da Apple sobre phishing). Para entender as limitações históricas de exploits de bootrom, recursos como a comunidade por trás de checkra1n documentam o alcance de vulnerabilidades prévias e por que nem todas as gerações de chips são suscetíveis ao mesmo tipo de ataque.

Ligações de referência: SOCRadar (investigação e acompanhamento de ameaças) — https://socradar.io/; Guia da Apple sobre como denunciar phishing e o que não compartilhar — https://support.apple.com/en-us/HT204759; informação histórica sobre exploits de bootrom e ferramentas associadas — https://checkra.in/.