Panggilan AI Palsu Mengaku Apple, Incar Kode Sandi iPhone

Pemilik iPhone yang kehilangan atau menjadi korban pencurian perangkat kini menghadapi modus penipuan yang semakin canggih. Peneliti keamanan siber menemukan platform phishing-as-a-service (PhaaS) yang memanfaatkan agen suara berbasis kecerdasan buatan (AI) untuk menyamar sebagai Dukungan Apple.

Platform tersebut dirancang untuk menipu korban agar menyerahkan kode sandi perangkat, kredensial Apple ID, hingga kode autentikasi dua faktor (2FA). Data tersebut kemudian dapat dimanfaatkan pelaku untuk melewati perlindungan Activation Lock pada perangkat Apple yang dicuri.

Temuan ini diungkap Unit Riset Ancaman SOCRadar (STRU), yang melacak platform tersebut dengan nama AnonyMousKIT. Berbeda dari perangkat phishing sederhana, AnonyMousKIT disebut memiliki karakteristik seperti layanan perangkat lunak komersial yang memang dibuat untuk melayani pelanggan kriminal.

SOCRadar menemukan platform tersebut menggunakan sistem pembayaran berbasis kredit. Pelaku dapat membeli kredit untuk menjalankan berbagai jenis kampanye terhadap pemilik perangkat yang menjadi sasaran.

Dalam satu catatan korban, tersedia lima saluran serangan, yakni email, SMS, WhatsApp, panggilan suara rekaman, serta panggilan menggunakan agen suara AI. Email dikenai biaya 1,50 kredit, sementara panggilan suara rekaman membutuhkan satu kredit. Agen suara AI dibanderol dua kredit.

"AnonyMousKIT sebaiknya dipahami bukan sebagai perangkat phishing, melainkan sebagai bisnis perangkat lunak kecil dengan basis pelanggan kriminal," kata SOCRadar dalam laporannya.

Platform tersebut bahkan dilengkapi fitur seperti paket kredit, harga layanan, langganan bertingkat, dukungan pelanggan, pelacakan status kampanye, hingga mekanisme penggantian infrastruktur. Model ini menunjukkan bagaimana layanan kriminal berbasis perangkat lunak mulai mengadopsi pola bisnis yang lazim ditemukan pada perusahaan teknologi.

Menyamar sebagai Dukungan Apple

Sasaran utama AnonyMousKIT adalah pemilik perangkat Apple yang baru saja kehilangan iPhone atau perangkat lain. Korban menerima pesan yang seolah-olah berasal dari Apple atau layanan Find My. Pesan tersebut biasanya menginformasikan bahwa perangkat yang hilang telah ditemukan. Korban kemudian diarahkan menuju tautan yang membawa mereka ke halaman phishing dengan tampilan menyerupai situs resmi Apple.

Halaman tersebut bahkan menampilkan peta animasi yang menunjukkan lokasi perangkat. Informasi seperti pengenal model internal Apple dan status Find My juga dapat digunakan untuk membuat halaman terlihat lebih meyakinkan.

Setelah korban masuk ke halaman tersebut, pelaku berusaha memperoleh kode sandi perangkat yang terdiri dari empat atau enam digit. Berikutnya, korban dapat diminta memberikan kredensial Apple ID dan kode 2FA.

Padahal, Apple telah secara tegas mengingatkan bahwa perusahaan tidak akan meminta pengguna memberikan kata sandi, kode sandi perangkat, maupun kode autentikasi dua faktor ketika memberikan dukungan. Apple juga mengingatkan pengguna agar tidak memasukkan informasi tersebut ke situs yang tidak terpercaya atau mengikuti instruksi mencurigakan melalui pesan dan panggilan telepon.

Agen Suara AI Jadi Senjata Baru

Yang membuat AnonyMousKIT berbeda adalah penggunaan agen suara AI sebagai bagian dari serangan. SOCRadar menemukan akun operator pada platform suara komersial Vapi yang berisi 200 catatan panggilan dan 55 transkrip.

Pelaku juga menyiapkan lima persona yang dikonfigurasi untuk menjalankan percakapan dengan korban. Kelima persona tersebut menggunakan identitas yang sama, yakni "Alice dari Dukungan Apple", dan dapat berkomunikasi dalam bahasa Inggris, Spanyol, serta Portugis.

Panggilan yang ditemukan berlangsung antara 31 Agustus 2025 hingga 30 Mei 2026. Dari 200 panggilan tersebut, sebanyak 179 ditujukan kepada nomor telepon di Brasil. Dalam salah satu skenario, agen AI terlebih dahulu meminta korban mengonfirmasi kepemilikan perangkat. Setelah itu, korban diminta memberikan kode sandi empat atau enam digit.

Menariknya, agen AI akan membacakan kembali angka yang diberikan korban untuk memastikan kode tersebut benar. Tahapan ini membuat percakapan terdengar lebih alami dan berpotensi meningkatkan kepercayaan korban.

Setelah memperoleh kode sandi, agen kemudian melanjutkan skenario dengan mengatakan bahwa seseorang telah mendatangi Apple Store untuk menghapus Activation Lock. Korban lalu ditanya apakah mereka telah menerima tautan pemulihan melalui pesan teks.

Dengan teknologi suara AI, pelaku tidak lagi harus mengandalkan operator manusia untuk melakukan panggilan satu per satu. Serangan dapat dijalankan dalam skala lebih besar dengan biaya yang relatif rendah. SOCRadar memperkirakan 200 panggilan tersebut hanya membutuhkan biaya sekitar 19,24 dolar AS atau sekitar 9,6 sen AS per panggilan.

Namun, dari 200 panggilan yang dianalisis, tidak ditemukan catatan bahwa korban berhasil memberikan kode sandi, Apple ID, maupun kode 2FA. Sebanyak 100 panggilan berakhir karena korban menutup telepon, 48 terputus akibat tidak ada jawaban, 24 tidak dijawab, dan 28 lainnya mengalami kesalahan platform atau status sibuk.

Menargetkan Korban di Berbagai Negara

Investigasi SOCRadar juga menemukan skala distribusi yang lebih luas. Pemindaian terhadap 506 domain yang berkaitan dengan keluarga unlock-kit mengidentifikasi 30 instalasi berbeda yang dapat dijangkau melalui 42 domain. Dari 506 instalasi tersebut, 188 masih aktif. Sementara itu, instalasi AnonyMousKIT mencatat 691 upaya pengiriman antara Maret dan Juli 2026. Jika seluruh 30 backend digabungkan, jumlah pengiriman mencapai 6.092.

Dua subjek email yang paling banyak digunakan adalah "Perangkat Anda telah ditemukan" dengan 308 pengiriman dan "Peringatan" dengan 157 pengiriman. Nama pengirim juga dipalsukan menggunakan identitas seperti Apple, Find My, Apple Support, dan Apple Assistance untuk membuat pesan tampak resmi.

Sebanyak 627 dari 691 pengiriman yang tercatat diteruskan melalui satu akun Gmail gratis. Sebagian besar umpan juga dilengkapi token lokasi yang mencantumkan nama kota. Dari 691 umpan, sebanyak 678 memiliki token lokasi yang menyebut berbagai kota, termasuk Johannesburg, Abuja, Buenos Aires, Maputo, dan Mumbai. Halaman phishing untuk mengumpulkan informasi korban disajikan melalui URL yang menggunakan token terenkripsi.

Afrika Selatan menjadi salah satu negara yang cukup banyak menjadi sasaran. Dari keseluruhan keluarga platform, tercatat 1.735 dari 6.092 pengiriman menuju target di negara tersebut. Bahkan, 64 pengiriman yang dilakukan melalui AnonyMousKIT ditujukan ke domain non-konsumen. Sebanyak 27 di antaranya mencapai alamat pemerintah Afrika Selatan. SOCRadar menilai penerima tersebut kemungkinan dipilih karena perangkat mereka menjadi target pencurian, bukan karena jabatan atau peran mereka.

Alat Pembuka Kunci Diduga Hanya Umpan

Selain rekayasa sosial, AnonyMousKIT juga menawarkan sejumlah alat yang diklaim dapat membantu membuka kunci perangkat Apple. Namun, penelitian SOCRadar menunjukkan bahwa kemampuan teknis alat tersebut sangat terbatas.

Sebanyak 5.649 dari 6.092 perangkat yang menjadi target, atau sekitar 92,7 persen, menggunakan chip Apple A12 atau lebih baru. Kondisi ini penting karena eksploitasi bootrom checkm8 yang selama ini dikenal dalam konteks jailbreak hanya dapat digunakan pada perangkat dengan chip A5 hingga A11. Dengan demikian, sebagian besar perangkat yang ditargetkan tidak kompatibel dengan metode tersebut.

Eksploitasi bootrom publik untuk perangkat berbasis A12 dan A13 memang telah dirilis pada 18 Juni 2026. Namun, para peneliti menjelaskan bahwa eksploitasi tersebut memiliki keterbatasan. Eksploitasi itu disebut membutuhkan kepemilikan fisik perangkat dan akses ke mode Device Firmware Upgrade (DFU). Penelitian juga tidak menemukan bukti adanya kompromi terhadap Secure Enclave.

Alat yang tersedia pada platform tersebut dapat menurunkan perangkat ke mode produksi atau mem-boot citra iBoot mentah. Namun, tindakan tersebut tidak secara otomatis memulihkan kode sandi perangkat ataupun menghapus Activation Lock.

Karena itu, SOCRadar menilai alat pembuka kunci yang ditawarkan kemungkinan besar berfungsi sebagai umpan untuk meyakinkan pelanggan kriminal bahwa platform tersebut memiliki kemampuan teknis yang lebih luas daripada kenyataannya.

Ekosistem Kriminal Semakin Terorganisasi

Penemuan AnonyMousKIT menunjukkan bahwa layanan phishing kini semakin menyerupai industri perangkat lunak. Pelaku tidak hanya menyediakan halaman phishing, tetapi juga menawarkan berbagai saluran komunikasi, sistem pembayaran, dukungan teknis, dan otomatisasi berbasis AI.

Tiga toko online bernama i-Blocker, Key Unlock, dan KG-KING bahkan diluncurkan pada detik yang sama pada 10 April 2026. Ketiganya menggunakan akun Gmail perantara yang sama. Berdasarkan pola tersebut, SOCRadar menilai ketiga toko kemungkinan dijalankan oleh satu pembeli dengan beberapa merek berbeda, bukan tiga pelanggan yang berdiri sendiri.

Temuan ini sejalan dengan penelitian keamanan lain mengenai meningkatnya penggunaan AI dalam vishing atau penipuan berbasis panggilan suara. Layanan semacam ini memungkinkan pelaku mengotomatiskan percakapan dengan korban dan membuat serangan lebih mudah diperluas.

Infoblox Threat Intel juga sebelumnya mendokumentasikan ekosistem unlock-kit serupa melalui telemetri DNS. Antara Maret 2022 hingga Mei 2026, perusahaan tersebut mengidentifikasi 4.244 domain berbahaya yang terkait dengan aktivitas tersebut.

"Dengan menggabungkan perangkat teknis dan rekayasa sosial, para pencuri kini memiliki cara untuk membuka kunci perangkat dalam skala besar dan menjadikan pencurian ponsel menguntungkan," kata peneliti Infoblox Threat Intel, Maël Le Touz dan Elena Puga.

Namun, kesamaan label tingkat kedua pada berbagai domain tingkat atas tidak serta-merta menunjukkan bahwa seluruh infrastruktur tersebut dikendalikan oleh satu operator. Menurut para peneliti, pola tersebut lebih tepat dipandang sebagai kemiripan infrastruktur.

Jangan Pernah Berikan Kode kepada Penelpon

Apple sendiri telah memberikan peringatan yang sangat jelas mengenai modus semacam ini. Dalam dokumentasi dukungan yang diterbitkan pada 15 Juni 2026, Apple menyatakan bahwa perusahaan tidak akan meminta pengguna masuk ke situs tertentu, menyetujui permintaan autentikasi dua faktor, atau memberikan kata sandi, kode sandi perangkat, maupun kode 2FA.

Karena itu, pengguna yang kehilangan iPhone sebaiknya sangat berhati-hati ketika menerima pesan atau panggilan yang mengaku berasal dari Apple.

Pemberitahuan bahwa perangkat telah ditemukan bukan berarti pengguna harus segera memasukkan Apple ID atau kode sandi. Pelaku justru dapat memanfaatkan kepanikan dan keinginan korban untuk mendapatkan kembali perangkat sebagai titik masuk serangan.

Jika menerima pesan mencurigakan, pengguna sebaiknya tidak mengeklik tautan, tidak memberikan kode apa pun kepada penelepon, dan tidak memasukkan informasi akun pada halaman yang diterima melalui SMS atau email. Apple mengarahkan pengguna untuk meneruskan email dan pesan teks phishing yang mengatasnamakan perusahaan ke alamat reportphishing@apple.com.

Para peneliti juga merekomendasikan penggunaan kunci keamanan perangkat keras untuk akun Apple ID yang memiliki nilai tinggi. Menurut mereka, langkah tersebut dapat mengurangi risiko penyadapan kode 2FA secara real-time yang menjadi salah satu tujuan utama modus penipuan tersebut.

Perkembangan ini menunjukkan bahwa pencurian perangkat tidak lagi berhenti ketika ponsel berhasil diambil secara fisik. Pelaku kini dapat melanjutkan serangan dengan memanfaatkan rekayasa sosial, otomatisasi, dan AI untuk mengejar kredensial pemilik perangkat.

Pada Juli 2026, aparat penegak hukum Jerman dan Amerika Serikat juga membongkar Kratos, menonaktifkan lebih dari 200 server. Di Indonesia, aparat turut menangkap pria yang disebut sebagai pengembang sekaligus pengelola platform tersebut.

Meski demikian, ekosistem serangan terhadap perangkat Apple belum berhenti. SOCRadar menyatakan AnonyMousKIT masih beroperasi pada hari terakhir analisis mereka.

"Platform tersebut masih beroperasi pada hari terakhir analisis kami," kata SOCRadar. Perusahaan menyatakan akan terus memantau platform tersebut, toko online yang berkaitan, serta keluarga kode sumber yang lebih luas dan melaporkan perubahan signifikan.

Bagi pengguna Apple, pesan utamanya sederhana: Apple tidak membutuhkan kode rahasia pengguna untuk memberikan dukungan. Jika seseorang yang mengaku sebagai petugas Apple meminta kode sandi, Apple ID, atau kode 2FA, permintaan tersebut harus dianggap sebagai tanda bahaya.