Apples Aktivierungssperre greift automatisch, sobald der Ortungsdienst “Wo ist?” aktiviert ist, und koppelt das iPhone an das Apple-Konto des Besitzers. Selbst nach einem Zurücksetzen auf Werkseinstellungen bleibt das Gerät mit diesem Konto verknüpft und verlangt bei der Ersteinrichtung einen gültigen Autorisierungscode. Genau deshalb landen viele gestohlene iPhones nur als Ersatzteillager auf dem Markt — ihr Wert steigt erheblich, wenn sie sich entsperren lassen, erst recht, wenn zusätzlich sensible Daten des Eigentümers abgegriffen werden können.
An dieser Stelle setzt AnonyMousKIT an. Die Plattform zieht Informationen aus dem gestohlenen Gerät, etwa die Kontaktdaten, die der Besitzer über den Verlustmodus hinterlegt hat. Über diese Angaben werden die Betroffenen anschließend per E-Mail, SMS, WhatsApp oder Telefon kontaktiert.
Die Nachrichten geben sich als Apple aus und behaupten, das vermisste Gerät sei geortet worden. Zur Glaubwürdigkeit nennen sie das korrekte Modell und die passende IMEI. Der Link führt auf eine nachgebaute “Wo ist?”- oder Apple-Seite, auf der Opfer ihren Gerätecode, ihre Apple-Zugangsdaten und den Code der Zwei-Faktor-Authentifizierung eintippen sollen.
In einigen von SOCRadar untersuchten Fällen übernimmt ein KI-Sprachagent mit der Persona “Alice vom Apple-Support” das Gespräch. Sie erklärt den Opfern, jemand habe versucht, das Telefon zu entsperren, und es dafür in einen Apple Store gebracht, wo das Gerät einbehalten worden sei. Anschließend fordert der Agent das Opfer auf, den Besitz durch Diktieren des Passcodes zu bestätigen, und leitet es zur Phishing-Seite weiter.
Sind die Codes einmal in fremden Händen, können die Täter auf die persönlichen Daten zugreifen, das Gerät auf Werkseinstellungen zurücksetzen, es aus der “Wo ist?"-App entfernen und anschließend verkaufen. SOCRadar warnt, dass eine kompromittierte Apple-ID weit über das Einzelgerät hinaus wirkt: iCloud-Backups, in der Keychain gespeicherte Passwörter, dienstliche E-Mails und weitere Unternehmensdaten auf privaten oder vom Arbeitgeber gestellten Apple-Geräten können offenliegen. Dass ein kleiner Anteil der Phishing-Mails an Regierungs- und Unternehmensorganisationen ging, verstärkt dieses Risiko.
Die Kampagnen sind laut SOCRadar global verteilt, häufen sich aber in Südafrika, Indonesien, Italien, Indien, Kenia und Brasilien. Der niedrige Preis von rund zehn US-Cent pro Anrufversuch macht den Einsatz des Sprachagenten für die Betreiber wirtschaftlich attraktiv — die Skalierung zeigt sich in den 506 verbundenen Domains und den 168 Wiederverkäufer-Marken, die die Forscher der Plattform zuordnen konnten.