Phishing nhắm người dùng Apple bị mất máy bằng cuộc gọi AI giả mạo hỗ trợ
"Researchers disclosed a phishing-as-a-service platform, AnonyMousKIT, that targets owners of stolen Apple devices with fake Apple Support emails, SMS, WhatsApp messages, and AI-generated voice calls to obtain device passcodes, Apple ID credentials, and live 2FA codes. The campaign is designed to bypass Activation Lock, but no successful credential capture was reported; Apple’s guidance remains that support never requests passcodes or 2FA codes, and the reported exploit/bypass claims do not recover passcodes or remove Activation Lock."
Đây là chiến dịch mạo danh Apple Support có mức độ tinh vi cao, kết hợp AI voice và đa kênh để đánh cắp passcode và 2FA. Dù chưa ghi nhận ca lấy cắp thành công, rủi ro đối với tài khoản Apple ID và thiết bị bị mất là đáng kể.
Tác động chính là tăng nguy cơ chiếm quyền tài khoản và mất kiểm soát thiết bị sau sự cố thất lạc. Doanh nghiệp cần chuẩn hóa quy trình xử lý thiết bị bị mất, đào tạo người dùng và giảm khả năng bị lừa qua email/SMS/cuộc gọi giả mạo.
Các nhà nghiên cứu an ninh đã công bố một nền tảng phishing-as-a-service (PhaaS) có tên AnonyMousKIT, được thiết kế để nhắm vào chủ sở hữu thiết bị Apple bị mất hoặc bị đánh cắp nhằm lấy mật mã thiết bị, Apple ID và mã 2FA theo thời gian thực. Chiến dịch dùng nhiều kênh như email, SMS, WhatsApp và đặc biệt là cuộc gọi thoại do AI tạo ra để giả mạo Apple Support.
Theo báo cáo, các trang lừa đảo hiển thị giao diện mang thương hiệu Apple và yêu cầu nạn nhân nhập mã 4 hoặc 6 chữ số, sau đó tiếp tục xin thông tin đăng nhập và mã xác thực. Mục tiêu cuối cùng là tìm cách vượt qua Activation Lock trên thiết bị bị đánh cắp. Tuy nhiên, báo cáo không ghi nhận trường hợp nào xác nhận đã lấy được passcode, Apple ID hay 2FA code thành công.
Apple tiếp tục khuyến cáo rằng bộ phận hỗ trợ không bao giờ yêu cầu mật khẩu, passcode hoặc mã 2FA. Với đội kỹ thuật, cần tăng cường cảnh báo người dùng, giám sát các dấu hiệu mạo danh Apple, và xác minh mọi yêu cầu hỗ trợ qua kênh chính thức trước khi cung cấp bất kỳ thông tin nào.