Se in azienda usate iPhone, iPad o Mac, questa notizia vi riguarda subito: è stata documentata una piattaforma criminale che usa chiamate vocali generate con intelligenza artificiale, fingendosi Apple Support, per convincere le vittime a rivelare passcode del dispositivo, credenziali Apple ID e codici di autenticazione a due fattori. Il punto più importante per un’impresa è che l’attacco non sfrutta un difetto tecnico del telefono, ma la pressione psicologica e la credibilità del contatto: basta un dipendente colto di sorpresa per trasformare il furto di un device in una violazione di account e dati aziendali.
Cosa è successo
Il 26 agosto 2026 The Hacker News ha riportato i risultati di una ricerca di SOCRadar Threat Research Unit su una piattaforma di phishing-as-a-service tracciata come AnonyMousKIT. Secondo i ricercatori, il servizio è progettato per aiutare criminali e ricettatori a rimuovere, o più precisamente ad aggirare sul piano operativo, il valore protettivo dell’Activation Lock di Apple sui dispositivi rubati.
L’idea è semplice: invece di tentare uno sblocco tecnico del telefono, i truffatori puntano a ottenere direttamente dalla vittima le informazioni necessarie. La catena tipica descritta nel report segue tre passaggi:
- richiesta del passcode a 4 o 6 cifre del dispositivo;
- raccolta delle credenziali Apple ID;
- acquisizione in tempo reale del codice 2FA.
Per farlo, la piattaforma non usa un solo canale. Dallo stesso profilo vittima può inviare email, SMS, WhatsApp, chiamate vocali registrate e perfino una chiamata con agente vocale AI. È un dettaglio cruciale: non parliamo del classico messaggio di phishing isolato, ma di una macchina multicanale che insiste fino a quando trova il momento giusto o la persona meno preparata.
Perché questa truffa funziona così bene
La forza dell’attacco non è tecnologica in senso stretto, ma organizzativa. SOCRadar descrive AnonyMousKIT non come un semplice kit, bensì come un piccolo “business software” criminale: listini, crediti prepagati, piani di abbonamento, supporto clienti, tracciamento dello stato delle campagne e procedure di sostituzione dell’infrastruttura.
In pratica, il cybercrime sta industrializzando anche il vishing, cioè il phishing telefonico. E l’intelligenza artificiale rende tutto più economico, scalabile e credibile.
Nel caso analizzato, i ricercatori hanno recuperato dall’account usato sulla piattaforma vocale commerciale Vapi 200 registrazioni di chiamata, 55 trascrizioni e cinque personaggi configurati, tutti presentati come “Alice” di Apple Support in inglese, spagnolo e portoghese. Le chiamate documentate si sono svolte tra il 31 agosto 2025 e il 30 maggio 2026.
Il dato che colpisce di più è il costo: i ricercatori stimano per 200 chiamate una spesa totale di 19,24 dollari, circa 9,6 centesimi a chiamata. In altre parole, un attacco telefonico automatizzato oggi può costare meno di un caffè e raggiungere centinaia di persone.
Come si presenta l’inganno alla vittima
La vittima tipica è il proprietario di un dispositivo Apple smarrito o rubato da poco. Il contesto emotivo fa gran parte del lavoro: chi ha perso un iPhone è già in ansia, controlla “Dov’è”, teme la fuga di dati e spera di recuperare il device. I criminali sfruttano proprio questa finestra di vulnerabilità.
I messaggi e le pagine fraudolente usano dettagli presi dal dispositivo rubato, inclusi l’identificatore interno del modello Apple e lo stato live di Find My. Il risultato è una comunicazione molto più credibile del phishing tradizionale.
Secondo i dati citati:
- i soggetti email più frequenti erano “Your device has been found” e “Alert”;
- i nomi mittente imitavano Apple, Find My, Apple Support e Apple Assistance;
- le pagine di cattura mostravano un marchio Apple e perfino una mappa animata della posizione segnalata del dispositivo;
- le URL per le vittime erano del tipo /help?TOKEN, quindi personalizzate.
Nelle trascrizioni recuperate, l’agente vocale AI chiede prima di confermare la proprietà del telefono, poi domanda il passcode e lo ripete a voce per verifica. Successivamente sostiene che qualcuno avrebbe tentato di rimuovere l’Activation Lock in un Apple Store e chiede alla vittima se ha ricevuto via SMS un link di recupero. È una tecnica efficace perché presenta la richiesta come parte di una procedura urgente di protezione del dispositivo.
Activation Lock: protezione utile, ma non basta se l’utente collabora
Apple non è il problema di questa vicenda: l’Activation Lock, introdotto con iOS 7, resta una misura di sicurezza molto importante perché lega l’hardware a uno specifico Apple ID e rende il telefono rubato inutilizzabile finché l’account del proprietario non viene rimosso.
Proprio per questo i criminali cercano di ottenere i codici dalla vittima. Se il blocco tecnico è difficile da aggirare, diventa più conveniente convincere l’utente a consegnare le chiavi.
La stessa guida Apple, ricordata anche nella notizia, è chiarissima: Apple non chiede mai password, passcode del dispositivo o codici 2FA per fornire supporto. È la regola più semplice da memorizzare e da diffondere in azienda.
I numeri emersi dall’indagine
La ricerca fornisce anche una fotografia utile della scala del fenomeno. SOCRadar ha identificato 506 domini appartenenti alla famiglia del kit, di cui 188 attivi al momento della scansione. I ricercatori hanno rilevato 30 installazioni distinte raggiungibili su 42 domini.
L’installazione specifica di AnonyMousKIT avrebbe registrato 691 tentativi di invio tra marzo e luglio 2026, contro 6.092 complessivi sui 30 backend osservati. Tra questi, 1.735 invii a livello di famiglia risultavano diretti al Sudafrica. Nel solo backend analizzato, 64 dei 691 messaggi raggiungevano domini non consumer, inclusi 27 indirizzi governativi sudafricani. I ricercatori precisano però che la selezione dipendeva dal furto del dispositivo, non dal ruolo professionale della vittima.
Interessante anche il dato geografico sulle chiamate: 179 delle 200 registrate risultavano dirette a numeri in Brasile.
Sul piano tecnico, SOCRadar segnala che i log sono stati ottenuti grazie a due percorsi relativi lasciati nel codice condiviso che esponevano file sul web root senza autenticazione. Questo significa che ogni deployment del codice ereditava la stessa debolezza, un dettaglio che racconta bene quanto questi ecosistemi criminali somiglino ormai a prodotti software veri e propri, completi di bug, versioni e infrastrutture riutilizzate.
Perché le aziende non devono considerarlo un problema “personale” dei dipendenti
Molti attacchi partono da un telefono personale o da un device aziendale rubato fuori dall’ufficio, ma l’impatto non resta confinato al singolo utente. Se sul dispositivo o sull’Apple ID sono presenti accessi a posta, file cloud, password salvate, app bancarie, strumenti MDM, note, documenti commerciali o chat di lavoro, una truffa riuscita può aprire la porta a un incidente ben più ampio.
Il rischio, per una PMI, non è solo perdere il telefono. È perdere il controllo dell’identità digitale collegata a quel telefono.
Per questo conviene trattare questi casi come eventi di sicurezza a tutti gli effetti, con procedure interne chiare e tempi di reazione rapidi. La formazione anti-phishing da sola non basta se non è accompagnata da inventario dispositivi, revoca accessi e politiche coerenti di gestione degli endpoint, per esempio attraverso servizi di desktop IT management.
Cosa significa per la tua azienda
Per una PMI italiana, la lezione pratica è netta: il furto di uno smartphone non va gestito solo come smarrimento di un bene, ma come possibile innesco di social engineering mirato. Ecco cosa conviene fare subito.
1. Definite una regola semplice e ripetibile
Nessun fornitore legittimo, Apple inclusa, deve mai chiedere a voce o via messaggio:
- passcode del dispositivo;
- password dell’account;
- codice 2FA appena ricevuto.
Se una chiamata lo chiede, deve scattare il blocco immediato della conversazione.
2. Istruite i dipendenti su cosa fare dopo il furto o lo smarrimento
La fase più pericolosa sono le ore successive all’evento. Serve una mini-checklist aziendale:
- avvisare subito il referente IT o il fornitore di assistenza;
- non interagire con link arrivati via SMS, WhatsApp o email sul dispositivo smarrito;
- non fornire codici a chi chiama “per aiutare a recuperare il telefono”;
- cambiare rapidamente le credenziali sensibili se c’è il sospetto di esposizione.
3. Separate il più possibile account personali e account di lavoro
Se i dipendenti usano lo stesso ecosistema Apple per dati privati e aziendali, l’impatto cresce. Meglio limitare l’uso promiscuo e stabilire quali app e quali dati possono risiedere sui dispositivi.
4. Preparate una procedura di incident response per i device mobili
Anche una realtà piccola dovrebbe sapere chi contattare, come revocare sessioni, come forzare il reset delle password e come verificare eventuali accessi anomali. Qui un contratto di assistenza informatica può fare la differenza, perché riduce i tempi decisionali nel momento peggiore.
5. Proteggete i dati, non solo il dispositivo
Se un telefono viene perso, l’obiettivo è evitare che il danno diventi irreversibile. Politiche di backup, sincronizzazione controllata e copie di sicurezza affidabili restano essenziali, soprattutto per documenti e contenuti condivisi. In questo senso può essere utile affiancare ai controlli sugli endpoint una soluzione di remote backup.
6. Valutate anche il profilo privacy
Se dal furto del device o dall’accesso all’account derivano esposizione di dati personali, posta o documenti dei clienti, può aprirsi anche un tema di conformità e gestione dell’incidente ai sensi del GDPR. Non tutti i casi portano a notifica, ma tutti richiedono una valutazione tempestiva.
Una tendenza da osservare: l’IA abbassa il costo del raggiro
L’elemento nuovo di questa vicenda non è l’esistenza del phishing, ma la combinazione tra automazione, costo minimo e credibilità vocale. Una chiamata AI non si stanca, non ha bisogno di un operatore umano per ogni contatto e può seguire uno script coerente in più lingue.
Per le aziende questo significa che le truffe telefoniche diventeranno più frequenti, più convincenti e meno riconoscibili a colpo d’occhio. Non bisogna aspettarsi solo email sospette con errori evidenti: sempre più spesso l’attacco arriverà con toni educati, voce rassicurante e dettagli apparentemente corretti.
La difesa, quindi, non può basarsi sull’intuizione del singolo. Deve poggiare su regole operative molto semplici: nessun codice comunicato a voce, nessun link cliccato sotto pressione, nessuna azione eseguita senza verifica su canali ufficiali.
Domande frequenti
Se ricevo una chiamata da “Apple Support”, come verifico se è vera?
Chiudi la chiamata e contatta Apple o il tuo referente IT usando solo canali ufficiali cercati autonomamente. Non richiamare numeri ricevuti via SMS o indicati dal chiamante.
Il passcode del telefono va mai comunicato all’assistenza?
No. Apple dichiara di non chiedere password, passcode del dispositivo o codici 2FA per fornire supporto.
Se il telefono rubato era usato anche per lavoro, cosa devo fare subito?
Segnala immediatamente l’evento all’IT, revoca o cambia gli accessi più sensibili e verifica eventuali sessioni attive su email, cloud e app aziendali. Le prime ore sono decisive.