Telefon dzwoni, a po drugiej stronie odzywa się spokojny, profesjonalny głos przedstawiający się jako pracownik pomocy technicznej Apple. Rozmówca zna model urządzenia, może wspomnieć o jego lokalizacji, problemie z kontem albo rzekomej próbie odzyskania zgubionego iPhone'a. Jeszcze kilka lat temu fałszywego konsultanta można było czasami rozpoznać po nienaturalnym akcencie, błędach językowych czy źle przygotowanym scenariuszu rozmowy. Sztuczna inteligencja zaczyna jednak zmieniać także ten obszar cyberprzestępczości. Badacze bezpieczeństwa opisali działającą kampanię AnonyMousKIT, w której automatyczne głosy generowane przez AI podszywały się pod Apple Support i kontaktowały się z właścicielami urządzeń za pomocą telefonu, SMS-ów, e-maili i WhatsAppa. Celem było zdobycie danych pozwalających przejąć konto lub odblokować skradzione urządzenie. Apple ostrzega jednocześnie, że oszuści coraz częściej wykorzystują profesjonalnie wyglądające wiadomości, spoofing numerów telefonu oraz szczegółowe informacje o ofierze, aby stworzyć wiarygodną historię.Najważniejsza zmiana polega na automatyzacji rozmowy z potencjalną ofiarą. W klasycznym vishingu, czyli phishingu głosowym, oszust musiał sam zadzwonić, mówić odpowiednim językiem i reagować na pytania rozmówcy. Generatywna AI pozwala część tego procesu zautomatyzować. System może otrzymać przygotowany scenariusz, dane dotyczące konkretnego urządzenia i polecenie prowadzenia rozmowy jako konsultant techniczny. Badacze SOCRadar opisali platformę, która wykorzystywała konwersacyjne agenty głosowe podszywające się pod osobę o nazwie "Alice from Apple Support". W badanej infrastrukturze znaleziono 200 zapisów takich rozmów prowadzonych między sierpniem 2025 a majem 2026 roku. Większość połączeń była skierowana do użytkowników w Brazylii, jednak sama infrastruktura phishingowa miała znacznie szerszy zasięg geograficzny.
AI zmienia również ekonomikę oszustwa. Automatyczny system może prowadzić wiele rozmów bez zatrudniania dużej grupy osób znających różne języki. Według analizy SOCRadar koszt 200 zidentyfikowanych rozmów AI wyniósł łącznie nieco ponad 19 dolarów. Oznacza to możliwość masowego testowania potencjalnych ofiar przy bardzo niskich kosztach. Dodatkowo głos może brzmieć spokojnie i profesjonalnie, a przygotowany agent jest w stanie dynamicznie wykorzystywać informacje dotyczące konkretnego użytkownika. Sam fakt, że rozmówca zna model iPhone'a, część danych właściciela czy okoliczności jego zgubienia, nie jest więc dowodem na to, że rzeczywiście kontaktuje się Apple. Współczesna socjotechnika coraz częściej polega właśnie na połączeniu prawdziwych informacji z fałszywą tożsamością rozmówcy.
Najnowsza opisana kampania ma bardzo konkretny cel. Apple stosuje Activation Lock, czyli Blokadę aktywacji, która wiąże urządzenie z kontem właściciela. Nawet po wymazaniu danych skradziony iPhone pozostaje znacznie mniej wartościowy dla złodzieja, jeśli nie może zostać ponownie aktywowany. Cyberprzestępcy próbują więc ominąć zabezpieczenie nie poprzez techniczny atak na sam telefon, lecz poprzez przekonanie właściciela, aby dobrowolnie przekazał informacje potrzebne do jego odblokowania. W analizowanym ekosystemie przestępcy wykorzystywali informacje o urządzeniu i dane związane z usługą Znajdź, a następnie kontaktowali się z właścicielem, sugerując, że telefon został znaleziony lub że Apple próbuje pomóc w jego odzyskaniu.
To wyjątkowo skuteczny moment na zastosowanie socjotechniki. Osoba, która właśnie straciła telefon, może być zestresowana i znacznie bardziej skłonna szybko zareagować na wiadomość informującą, że urządzenie zostało odnalezione. Jeśli SMS lub telefon pojawia się krótko po kradzieży i zawiera prawidłowe informacje, historia może wydawać się bardzo wiarygodna. Następnie użytkownik jest kierowany na stronę przypominającą usługę Apple, gdzie może zostać poproszony o podanie kodu urządzenia, danych konta Apple albo kodu uwierzytelniania dwupoziomowego. Przestępcy próbują w ten sposób wykorzystać zabezpieczenie Apple przeciwko samemu właścicielowi. Zamiast łamać Blokadę aktywacji, próbują przekonać człowieka, żeby sam dostarczył informacje potrzebne do jej usunięcia.
Najważniejszym sygnałem ostrzegawczym nie musi być już jakość głosu. Wcześniejsze automatyczne rozmowy często brzmiały sztucznie, miały nienaturalne pauzy lub błędy wymowy. Nowoczesne systemy generowania mowy potrafią jednak prowadzić rozmowy znacznie bardziej przekonująco, dlatego warto skupić się na tym, czego rozmówca oczekuje. Apple wskazuje, że prawdziwy przedstawiciel firmy nie będzie niespodziewanie prosił użytkownika o hasło do konta, kod dostępu do urządzenia ani kod uwierzytelniania dwupoziomowego. Firma nie poprosi również o stuknięcie opcji Akceptuj w nieoczekiwanym powiadomieniu dotyczącym logowania ani o wyłączenie funkcji bezpieczeństwa w celu rzekomego rozwiązania problemu.
Podejrzliwość powinna wzbudzić również presja czasu. Oszust może twierdzić, że ktoś właśnie przejmuje konto, dokonuje płatności przez Apple Pay albo próbuje wymazać skradziony telefon i trzeba natychmiast wykonać określone czynności. Apple ostrzega, że wywoływanie poczucia pilności jest typową techniką socjotechniczną. Fałszywy konsultant może nawet zniechęcać do rozłączenia się i samodzielnego skontaktowania z firmą, przekonując, że w tym czasie nastąpi utrata pieniędzy lub danych. To bardzo ważny sygnał alarmowy. Jeśli kontakt jest autentyczny, użytkownik może zakończyć rozmowę i samodzielnie otworzyć oficjalną aplikację lub stronę Apple, aby sprawdzić sytuację.
Nie. Jednym z największych błędów jest traktowanie numeru wyświetlanego na ekranie jako niepodważalnego potwierdzenia tożsamości rozmówcy. Oszuści stosują spoofing, czyli techniki pozwalające sprawić, że identyfikator połączenia wygląda jak numer należący do znanej firmy lub instytucji. Na ekranie iPhone'a może więc pojawić się nazwa lub numer, który wygląda znajomo, mimo że rzeczywiste źródło połączenia jest zupełnie inne. Apple wprost ostrzega przed tą metodą i zaleca, aby w przypadku podejrzanego kontaktu zakończyć rozmowę, a następnie samodzielnie skontaktować się z firmą przez oficjalne kanały.
Ta sama zasada dotyczy wiadomości tekstowych oraz e-maili. Nazwa nadawcy może wyglądać jak "Apple", "Apple Support" czy "Find My", podczas gdy rzeczywisty adres pochodzi z przypadkowej domeny lub zwykłego konta pocztowego. W badaniu AnonyMousKIT odkryto wiadomości wykorzystujące nazwy kojarzące się z Apple, mimo że część z nich była wysyłana między innymi przez zwykłe konta Gmail. Na niewielkim ekranie telefonu użytkownik często widzi przede wszystkim nazwę wyświetlaną, a nie pełny adres techniczny nadawcy. Dlatego nie należy oceniać wiarygodności komunikatu wyłącznie na podstawie logo, nazwy kontaktu, wyglądu wiadomości czy identyfikatora numeru telefonu.
Strona phishingowa nie musi już wyglądać jak amatorska kopia wykonana w kilka minut. Przestępcy potrafią bardzo dokładnie odtworzyć stylistykę Apple, używać podobnych ikon, czcionek, map i komunikatów związanych z odnalezieniem urządzenia. W analizowanym przez SOCRadar systemie fałszywe strony mogły prezentować informacje związane z lokalizacją i statusem urządzenia, aby zwiększyć wiarygodność całej historii. Użytkownik przechodził następnie przez kolejne etapy prowadzące do podania danych, których potrzebował przestępca. Sam profesjonalny wygląd witryny nie jest więc żadnym potwierdzeniem jej autentyczności.
Z tego powodu znacznie bezpieczniejszą zasadą jest niewchodzenie do usług Apple poprzez link otrzymany w nieoczekiwanym SMS-ie, e-mailu czy komunikatorze. Jeżeli wiadomość sugeruje problem z kontem, zakupem albo urządzeniem, można samodzielnie otworzyć Ustawienia iPhone'a lub ręcznie przejść do oficjalnej strony Apple. Firma zaleca również dokładne sprawdzanie adresów internetowych. Link może na pierwszy rzut oka zawierać słowa "apple", "icloud", "support" czy "find", ale prawdziwa domena może należeć do oszusta. Apple podkreśla, że użytkownik nie powinien podawać hasła, kodu urządzenia ani kodów bezpieczeństwa na stronach wskazanych przez osobę kontaktującą się niespodziewanie w sprawie rzekomego zagrożenia.
Najważniejsza zasada dotyczy hasła do konta Apple oraz kodów uwierzytelniania dwupoziomowego. Są to informacje pozwalające chronić konto nawet wtedy, gdy ktoś poznał login albo część innych danych użytkownika. Jeżeli osoba podająca się za pomoc techniczną prosi o odczytanie sześciocyfrowego kodu otrzymanego na urządzeniu, należy potraktować to jako bardzo poważny sygnał ostrzegawczy. Apple zaznacza, że przedstawiciele firmy nie proszą o przekazywanie hasła, kodu dostępu do urządzenia ani kodu 2FA. Podobnie nie należy zatwierdzać nieoczekiwanej próby logowania tylko dlatego, że rozmówca twierdzi, iż jest to konieczne do "zabezpieczenia konta".
W przypadku skradzionego telefonu szczególnie wrażliwy jest także kod blokady urządzenia. Może on mieć znaczenie znacznie większe niż sama możliwość odblokowania ekranu. Dlatego nie należy podawać go osobie, która zadzwoniła lub wysłała wiadomość z informacją o odnalezieniu iPhone'a. Oszust może również próbować nakłonić właściciela do wyłączenia Blokady aktywacji, funkcji Znajdź czy Ochrony skradzionego urządzenia. Apple wyraźnie zaznacza, że jego pracownicy nie proszą użytkowników o wyłączanie funkcji bezpieczeństwa w celu powstrzymania ataku. Jeżeli ktoś przedstawia taką czynność jako warunek odzyskania telefonu lub zabezpieczenia konta, najbezpieczniejszą reakcją jest zakończenie kontaktu.
Nie ma potrzeby prowadzenia długiej rozmowy ani próby udowodnienia oszustowi, że został rozpoznany. Najbezpieczniej jest zakończyć połączenie i samodzielnie zweryfikować sytuację. Jeżeli rzeczywiście istnieje problem z kontem lub urządzeniem, należy skorzystać z oficjalnych kanałów Apple, otworzyć aplikację Wsparcie Apple albo ręcznie wejść na stronę firmy. Nie należy oddzwaniać na numer przekazany podczas podejrzanej rozmowy ani korzystać z linku przesłanego później SMS-em. Ta metoda pozwala przerwać najważniejszy element ataku socjotechnicznego, czyli kontrolowanie przez przestępcę całej ścieżki komunikacji z ofiarą. Apple radzi wprost, aby w przypadku nieoczekiwanego telefonu od osoby przedstawiającej się jako pracownik firmy po prostu się rozłączyć.
Podejrzane wiadomości e-mail podszywające się pod Apple można zgłaszać firmie, a samą wiadomość warto pozostawić bez odpowiedzi. Nie należy otwierać załączników ani klikać w zawarte w niej odnośniki. W przypadku podejrzanych SMS-ów i innych wiadomości można również wykorzystać dostępne w systemie funkcje blokowania i zgłaszania spamu. Ważne jest jednak, aby nie ograniczać się do sprawdzania gramatyki czy stylistyki tekstu. Generatywna AI sprawia, że wiadomość phishingowa może być napisana poprawnym językiem, a głos konsultanta może brzmieć naturalnie. Bezpieczniejszym kryterium pozostaje więc analiza tego, kto rozpoczął kontakt i jakich działań oczekuje od użytkownika.
Jeżeli dane zostały już przekazane, liczy się szybka reakcja. Apple zaleca natychmiastową zmianę hasła do konta, jeśli istnieje podejrzenie, że zostało ono przejęte albo hasło wpisano na fałszywej stronie. Następnie warto sprawdzić urządzenia powiązane z kontem i usunąć wszystkie, których właściciel nie rozpoznaje. Należy również przejrzeć dane kontaktowe i ustawienia bezpieczeństwa oraz zweryfikować, czy nie pojawiły się nieznane zakupy, wiadomości lub zmiany konfiguracji. Jeśli użytkownik utracił możliwość normalnego zalogowania się, powinien skorzystać z oficjalnej procedury odzyskiwania konta.
Szczególną uwagę należy zwrócić na nieoczekiwane kody uwierzytelniania i powiadomienia o logowaniu. Mogą świadczyć o tym, że ktoś zna już hasło i próbuje przejść przez drugi etap zabezpieczenia. Nie należy zatwierdzać takich prób. Jeżeli podczas oszustwa podano również informacje dotyczące karty płatniczej lub bankowości, potrzebny może być dodatkowo kontakt z bankiem. W przypadku utraty telefonu warto pozostawić urządzenie w trybie Utracony i nie usuwać go pochopnie z konta tylko dlatego, że ktoś obiecuje jego odzyskanie. Atakujący może właśnie na taki ruch czekać, ponieważ usunięcie odpowiednich zabezpieczeń zwiększa możliwość ponownego wykorzystania skradzionego sprzętu.
Najprawdopodobniej tak, ponieważ znikają niektóre oznaki, na których przez lata opierały się popularne porady dotyczące phishingu. Błędy językowe, nienaturalny głos czy dziwna składnia nadal mogą wskazywać na próbę oszustwa, ale nie można już zakładać, że profesjonalnie napisana wiadomość jest bezpieczna. Generatywne modele językowe pozwalają szybko przygotowywać poprawne teksty w różnych językach, a narzędzia syntezy mowy umożliwiają automatyczne prowadzenie rozmów. AnonyMousKIT pokazuje, że połączenie phishingu, SMS-ów, WhatsAppa i generowanej przez AI rozmowy telefonicznej może zostać zorganizowane jako jedna zautomatyzowana usługa wykorzystywana przez cyberprzestępców.
Dobra wiadomość jest taka, że podstawowe mechanizmy obrony nie wymagają rozpoznawania, czy po drugiej stronie telefonu znajduje się człowiek, czy AI. Najważniejsze pozostają zasady dotyczące danych uwierzytelniających i niezależnej weryfikacji kontaktu. Nie należy przekazywać hasła, kodu dostępu ani kodu 2FA osobie, która sama nawiązała kontakt, a wszystkie alarmujące informacje warto sprawdzić bezpośrednio przez oficjalne kanały. W świecie coraz lepszych deepfake'ów i syntetycznych głosów zaufanie do samego brzmienia rozmówcy będzie miało coraz mniejszą wartość. Bezpieczeństwo będzie w większym stopniu zależało od procedury: rozłączyć się, nie klikać otrzymanego linku i samodzielnie sprawdzić sytuację. To prosta zasada, ale właśnie ona może skutecznie przerwać nawet bardzo przekonujący scenariusz przygotowany przy pomocy AI.
