Uma investigação da SOCRadar Threat Research Unit (STRU) expôs uma plataforma de phishing-as-a-service criada com um objetivo muito específico: convencer quem acabou de perder ou de ter um iPhone roubado a entregar o código do dispositivo, as credenciais do Apple ID e o código de autenticação de dois fatores. O ecossistema, batizado AnonyMousKIT, funciona como plataforma medida a créditos e automatiza a recolha de credenciais através de uma cadeia multicanal que integra email, SMS e WhatsApp com agentes conversacionais de inteligência artificial que fazem chamadas de voice phishing. O alvo final não são os dados da vítima, mas o Activation Lock — a proteção que transforma um iPhone furtado em pouco mais do que sucata.
Resposta rápida: Investigadores da SOCRadar documentaram o AnonyMousKIT, um serviço criminoso que usa agentes de voz com IA a fazerem-se passar por «Apple Support» para pedir o código de desbloqueio e o código 2FA a vítimas de furto de iPhone. Foram recuperados 200 registos de chamadas feitas entre agosto de 2025 e maio de 2026, com personas em inglês, espanhol e português. A regra de ouro é simples: a Apple não pede palavra-passe, código do dispositivo nem código de dois fatores para prestar suporte. Se lhe roubaram o telemóvel, ignore contactos «da Apple» a dizer que o aparelho foi localizado e trate tudo apenas em icloud.com/find.
Porque é que um iPhone roubado vale pouco (e o que os ladrões precisam de si)
O Activation Lock, introduzido no iOS 7, associa o equipamento a um Apple ID específico, deixando os dispositivos furtados praticamente inutilizáveis e limitados ao valor das peças, o que transformou o furto de telemóveis num processo de duas fases: o roubo físico e a obtenção das credenciais da vítima. Mesmo depois de um restauro de fábrica, o aparelho continua ligado à conta do proprietário original e exige uma autorização válida na primeira configuração — razão pela qual muitos iPhones roubados acabam vendidos para peças, valendo muito mais se conseguirem ser desbloqueados.
É exatamente esse fosso que o mercado criminoso passou a explorar. O relatório divide a operação em camadas — um programador que constrói e vende a plataforma, compradores que a licenciam para operar lojas com marca própria e operadores que enviam as mensagens de phishing —, descrevendo o AnonyMousKIT menos como um kit e mais como uma pequena empresa de software com uma base de clientes criminosa. Uma falha básica no código, o recurso a caminhos relativos, permitiu aos investigadores desfiar uma cadeia de revenda de 506 domínios e 168 marcas de loja ativas desde o início de 2024, expondo registos de produção e listas de operadores.
Cinco canais, um só registo de vítima
Segundo a SOCRadar, a plataforma é medida a créditos e dispara iscos a partir de um único registo de vítima em cinco canais: email a 1,50 créditos, SMS com preço por sender ID, WhatsApp, chamada de voz gravada a 1 crédito e agente de voz com IA a 2 créditos. Os operadores introduzem os dados do dispositivo furtado — modelo, contactos da vítima e estado do Find My — e lançam depois as tentativas de engenharia social em vários canais.
O que torna as mensagens credíveis é a informação real. O kit recolhe dados do próprio aparelho roubado, incluindo os contactos que o dono publicou através do Modo Perdido, e usa-os para contactar a vítima por email, SMS, WhatsApp ou telefone, com mensagens que se fazem passar pela Apple e afirmam que o dispositivo desaparecido foi localizado, apresentando o modelo e o IMEI corretos. Os iscos citam ainda o identificador interno de modelo da Apple e o estado ao vivo do Find My, ambos extraídos do próprio dispositivo furtado. Quem segue os links encontra páginas com estética Apple, verificações anti-bot, conteúdos localizados e mapas animados que simulam a localização do aparelho.
«Alice, do suporte Apple»: o que a IA diz ao telefone
É no canal de voz que está a novidade. A SOCRadar descreve a principal inovação como um vetor de voz automatizado conduzido por modelos de linguagem: a cerca de 0,10 dólares por chamada, a plataforma lança vishing dinâmico em três idiomas, com pretextos estruturados sincronizados com os dados dos iscos de email e SMS, eliminando a necessidade de operadores fluentes. A plataforma tinha cinco personas configuradas em inglês, espanhol e português do Brasil, três delas com o nome «Alice Dias, Apple Support».
O guião é sempre o mesmo. Na transcrição recuperada, o agente pede à vítima que confirme a propriedade do aparelho, solicita o código de quatro ou seis dígitos e repete os dígitos em voz alta para confirmação; depois explica que alguém terá ido a uma Apple Store para remover o Activation Lock e pergunta se já chegou um link de recuperação por mensagem. As páginas e as chamadas pedem sucessivamente o código do dispositivo, as credenciais do Apple ID e, por fim, um código de dois fatores em direto — quando a própria documentação da Apple afirma que a empresa nunca pede palavra-passe, código do dispositivo ou código 2FA para prestar suporte.
| Indicador | Valor documentado |
|---|---|
| Registos de chamadas recuperados | 200 |
| Período das chamadas | 31 ago. 2025 – 30 mai. 2026 |
| Chamadas para números no Brasil | 179 |
| Transcrições / personas | 55 / 5 |
| Custo total das chamadas | 19,24 dólares (~9,6 cêntimos cada) |
| Domínios / marcas de loja | 506 / 168 |
Convém sublinhar o que os dados não dizem. A tabela de resultados do relatório atribui as 200 chamadas a quatro desfechos — 100 vítimas que desligaram, 48 tempos de silêncio esgotados, 24 chamadas sem resposta e 28 erros de plataforma ou sinais de ocupado — e não apresenta qualquer contagem de códigos, Apple IDs ou códigos 2FA efetivamente capturados em nenhum dos cinco canais. Ou seja: a escala e o custo ridículo da automatização estão documentados; a taxa de sucesso não está.
As «ferramentas de desbloqueio» que não desbloqueiam nada
Parte do ecossistema vive de vender ilusões aos próprios criminosos. A SOCRadar nota que o kit também anuncia ferramentas de jailbreak «gratuitas» como isco, quando estas só funcionam em chips de 2017 ou anteriores (A8 a A11) e 92,7% dos dispositivos visados são A12 ou mais recentes — pelo que as ferramentas não funcionam nos alvos. Quanto a explorações mais recentes, existe um exploit público de bootrom para A12 e A13 divulgado a 18 de junho de 2026, mas os autores descrevem-no como tethered, exigindo posse física e modo DFU, e a investigação não demonstra qualquer comprometimento do Secure Enclave. A ferramenta de controlo associada apenas coloca o aparelho em modo de produção ou arranca uma imagem iBoot em bruto — nenhuma destas ações recupera o código do dispositivo nem remove o Activation Lock. Traduzindo: a única «chave» que continua a funcionar é a vítima.
Cronologia da operação
| Data | Acontecimento |
|---|---|
| Fevereiro de 2024 | Primeiros vestígios da família de kits, segundo a SOCRadar |
| 31 de agosto de 2025 | Primeiro registo de chamada com agente de voz de IA |
| Maio de 2026 | Infoblox publica lista de 4244 domínios maliciosos ligados ao mesmo ecossistema |
| 30 de maio de 2026 | Última chamada registada nos logs recuperados |
| 15 de junho de 2026 | Apple reforça a documentação sobre o que nunca pede aos utilizadores |
| Agosto de 2026 | Publicação do relatório; operações ainda consideradas ativas |
Os investigadores atribuem a família de kits de phishing a pelo menos fevereiro de 2024 e encontraram indícios de operações ativas a decorrer até agosto de 2026. O mesmo ecossistema de desbloqueio foi documentado em maio pela Infoblox Threat Intel a partir de telemetria de DNS, com a publicação de uma lista de 4244 domínios maliciosos detetados entre março de 2022 e maio de 2026. «Ao combinarem ferramentas técnicas e engenharia social, os ladrões passaram a ter forma de desbloquear dispositivos à escala e de tornar o furto de telemóveis rentável», afirmaram os investigadores Maël Le Touz e Elena Puga.
O que fazer se lhe roubarem o telemóvel
- Coloque o dispositivo em Modo Perdido e, se possível, apague-o remotamente a partir de
icloud.com/find. Ao marcar o aparelho como perdido, o ecrã fica bloqueado com código e pode exibir uma mensagem personalizada com o seu contacto, sendo também possível apagá-lo remotamente. Pondere que esse contacto ficará visível para quem tiver o aparelho. - Desconfie por sistema de qualquer email, SMS, mensagem de WhatsApp ou chamada a anunciar que o aparelho «foi localizado» — sobretudo se incluir um link ou pedir códigos.
- Nunca leia em voz alta nem escreva o código do dispositivo ou o código 2FA. A documentação de suporte da Apple, publicada a 15 de junho de 2026, afirma que a empresa nunca pede para iniciar sessão num site, tocar em «Aceitar» na caixa de dois fatores ou fornecer a palavra-passe, o código do dispositivo ou o código de dois fatores.
- Nunca remova o aparelho da sua lista de dispositivos: é isso que mantém o Activation Lock ativo.
- Altere a palavra-passe do Apple ID a partir de um equipamento de confiança e reveja as sessões ativas.
- Reencaminhe emails e mensagens fraudulentas com a marca Apple para
[email protected]. - Participe o furto às autoridades e peça ao operador o bloqueio do IMEI.
Porque é que isto importa em Portugal
A concentração das chamadas conhecidas no Brasil não deve gerar falsa segurança: o kit está preparado para operar em português e o modelo de negócio — revendedores com marca própria, créditos e suporte ao cliente — é geograficamente agnóstico. Em zonas urbanas e turísticas de Lisboa e do Porto, o furto de telemóveis é uma realidade quotidiana, e cada vítima passa a ser um alvo de engenharia social com dados verdadeiros nas mãos do atacante.
Para empresas, o risco não se esgota no valor do equipamento. A SOCRadar lembra que um Apple ID comprometido pode expor cópias de segurança do iCloud, credenciais guardadas no Porta-chaves e informação de trabalho armazenada no ecossistema Apple da vítima. Se o telemóvel furtado der acesso a dados pessoais de clientes ou colaboradores, a organização pode estar perante uma violação de dados pessoais com obrigações de notificação à CNPD ao abrigo do RGPD. Para entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), um Apple ID corporativo comprometido enquadra-se nas exigências de gestão de risco e de resposta a incidentes que o diploma impõe — incluindo a gestão de dispositivos móveis, a formação de sensibilização e os deveres de reporte.
Do lado da resposta, o CERT.PT pede que incidentes deste tipo lhe sejam reportados, com descrição do sucedido, data de início, sistemas ou pessoas afetadas e URL comprometidos. A lição operacional é transversal: quando um pedido de códigos chega por telefone, o problema não é a qualidade da voz — é o pedido em si.
Perguntas frequentes
A Apple alguma vez telefona a pedir o código do iPhone?
Não. A orientação da própria Apple indica que a empresa nunca pede a palavra-passe, o código do dispositivo ou o código de dois fatores para prestar suporte. Qualquer chamada, mensagem ou página que peça esses elementos deve ser tratada como fraude.
Como é que os atacantes sabem o modelo e o IMEI do meu telemóvel?
Os dados são extraídos do próprio aparelho furtado, incluindo os contactos que o proprietário divulga através do Modo Perdido, e são usados em mensagens que apresentam modelo e IMEI corretos para parecerem legítimas. Ver dados verdadeiros não é prova de autenticidade.
Se eu não der o código, o ladrão consegue desbloquear o iPhone na mesma?
É improvável com as ferramentas divulgadas neste ecossistema. A ferramenta de controlo associada ao exploit público apenas coloca o dispositivo em modo de produção ou arranca uma imagem iBoot em bruto, e nenhuma destas ações recupera o código nem remove o Activation Lock. Por isso é que os criminosos investem tanto em enganar a vítima.
O que devo fazer se já tiver dado os códigos?
Altere de imediato a palavra-passe do Apple ID a partir de um dispositivo de confiança, reveja sessões e dispositivos associados e verifique se o aparelho continua na sua lista. Reporte o incidente ao CERT.PT com a descrição do sucedido, a data, os sistemas ou pessoas afetados e os URL envolvidos, e apresente queixa às autoridades. Se estiverem em causa dados pessoais de terceiros, avalie o dever de notificação à CNPD.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela SOCRadar Threat Research Unit, pela Infoblox Threat Intel, pela documentação de suporte da Apple e pelo CNCS/CERT.PT.