Cảnh báo: Kẻ gian dùng AI giả danh Apple Support để chiếm đoạt mã khóa thiết bị bị đánh cắp

Một nền tảng Phishing-as-a-Service (PhaaS) mới có tên gọi AnonyMousKIT đang trở thành mối đe dọa nghiêm trọng đối với người dùng Apple. Theo báo cáo từ đơn vị nghiên cứu mối đe dọa của SOCRadar, nền tảng này được thiết kế để vượt qua tính năng Activation Lock trên các thiết bị bị đánh cắp bằng cách sử dụng các tác nhân giọng nói AI để giả danh nhân viên hỗ trợ của Apple.

Cách thức vận hành của AnonyMousKIT

AnonyMousKIT hoạt động như một doanh nghiệp phần mềm tội phạm với mô hình tính phí theo tín dụng (credit-metered). Kẻ tấn công có thể lựa chọn nhiều kênh tấn công khác nhau như email, SMS, WhatsApp, cuộc gọi ghi âm sẵn và đặc biệt là các cuộc gọi thoại AI. Các tác nhân AI này được thiết kế để gọi điện cho nạn nhân, giả vờ là nhân viên Apple Support nhằm yêu cầu cung cấp mã khóa thiết bị (4 hoặc 6 chữ số), thông tin Apple ID và mã xác thực hai yếu tố (2FA).

Đáng chú ý, các thông tin như kiểu máy Apple và trạng thái “Find My” được kẻ gian lấy trực tiếp từ thiết bị bị đánh cắp để tạo lòng tin. Nạn nhân sau đó sẽ được dẫn đến một trang web giả mạo có giao diện Apple, hiển thị bản đồ vị trí thiết bị để tăng tính thuyết phục.

Sự nguy hiểm của AI Voice Agents

SOCRadar cho biết, các cuộc gọi thoại AI là vector tấn công đáng chú ý nhất. Kẻ tấn công sử dụng các nền tảng thương mại như Vapi để tạo ra các nhân vật giả danh (như “Alice từ Apple Support”) với khả năng giao tiếp bằng nhiều ngôn ngữ như tiếng Anh, tiếng Tây Ban Nha và tiếng Bồ Đào Nha. Dữ liệu phân tích cho thấy hàng trăm cuộc gọi đã được thực hiện với chi phí cực thấp, cho thấy quy mô công nghiệp hóa của chiến dịch lừa đảo này.

Lỗ hổng bảo mật trong chính bộ công cụ lừa đảo

Trong một diễn biến thú vị, chính các nhà nghiên cứu đã phát hiện ra lỗ hổng bảo mật trong mã nguồn của AnonyMousKIT. Do các đường dẫn tệp tin không được bảo vệ, bất kỳ ai cũng có thể truy cập vào dữ liệu log của nền tảng này thông qua HTTP mà không cần xác thực. Điều này cho phép các chuyên gia an ninh mạng theo dõi sát sao các hoạt động của kẻ tấn công, bao gồm cả việc xác định các tên miền lừa đảo và các chiến dịch gửi email hàng loạt.

Khuyến cáo từ chuyên gia

Apple đã khẳng định rõ ràng rằng hãng không bao giờ yêu cầu người dùng cung cấp mật khẩu, mã khóa thiết bị hoặc mã xác thực 2FA thông qua các cuộc gọi hỗ trợ hoặc trang web không chính thức.

Để bảo vệ tài khoản Apple ID khỏi các hình thức tấn công này, các chuyên gia an ninh mạng khuyến nghị:

• Sử dụng khóa bảo mật phần cứng (physical security keys) cho các tài khoản Apple ID quan trọng.
• Tuyệt đối không cung cấp mã khóa thiết bị hoặc mã 2FA cho bất kỳ ai, kể cả khi họ tự xưng là nhân viên hỗ trợ kỹ thuật.
• Báo cáo các email hoặc tin nhắn lừa đảo về địa chỉ [email protected].

Hiện tại, SOCRadar vẫn đang tiếp tục theo dõi nền tảng này và các biến thể liên quan để cập nhật các diễn biến mới nhất cho cộng đồng an ninh mạng.

Nguồn tham khảo: The Hacker News