도난당한 아이폰을 되팔기 위해 인공지능(AI) 음성으로 피해자에게 전화를 걸어 잠금 해제 코드를 빼내는 서비스형 피싱(PhaaS·Phishing-as-a-Service) 플랫폼이 발견됐다. 위협 인텔리전스 업체 SOCRadar 산하 위협연구팀(STRU)은 이 플랫폼을 ‘AnonyMousKIT’로 명명하고 조사 결과를 공개했다. AnonyMousKIT는 애플의 도난 방지 기능인 액티베이션 락(Activation Lock)을 해제하는 데 필요한 애플 계정 정보를 자동으로 훔치도록 설계됐다. 조사팀은 이 서비스와 연결된 도메인 506개, 리셀러 형태의 매장(스토어프론트) 브랜드 168개를 확인했으며, 이 생태계는 2024년 초부터 가동된 것으로 파악됐다. SOCRadar는 “고급 AI로 애플 지원팀을 흉내 냈지만 기본적인 코딩 실수로 운영 기록과 관리자 명단까지 노출됐다”고 밝혔다.

도난 아이폰을 되팔기 위한 맞춤형 피싱 구조

액티베이션 락은 iOS 7에서 처음 도입된 기능으로, 파인드 마이(Find My)를 켜는 순간 아이폰이 소유자의 애플 계정에 묶인다. 공장 초기화를 하더라도 원래 계정으로 로그인해야 다시 사용할 수 있어, 도난 아이폰은 대부분 부품용으로만 팔린다. AnonyMousKIT는 이 장벽을 우회할 기술이 없는 도둑들을 겨냥해 만들어진 “사용량에 따라 요금을 매기는 전문 피싱 플랫폼”이라고 SOCRadar는 설명했다.

이용 방식은 단순하다. 가입자가 훔친 기기의 일련번호나 IMEI를 입력하면 플랫폼이 기종과 파인드 마이 실시간 상태를 자동으로 조회한다. 이후 도난 신고 시 등록된 소유자 연락처로 이메일·문자·왓츠앱·녹음 전화·AI 음성 상담원 등 다섯 개 채널을 동원해 접근한다. 채널별 요금은 이메일 1.5크레딧, 문자는 발신자 번호별 차등, 녹음 전화 1크레딧, AI 음성 에이전트 2크레딧으로 책정돼 있다. SOCRadar는 “기기를 분실하거나 도난당한 직후의 피해자를 노리면 실제 상황과 정확한 기기 정보를 함께 활용할 수 있어 사회공학 성공률이 높아진다”고 지적했다.

“앨리스”가 건 200통의 전화

조사팀은 음성 에이전트가 피해자에게 건 통화 기록 200건과 대화 녹취록 55건을 확보했다. 통화는 2025년 8월 31일부터 2026년 5월 30일까지(현지시각) 이뤄졌고, 200건 중 179건이 브라질로 발신됐다. 200통의 통화 비용은 총 19.24달러에 그쳤다. 음성 에이전트는 영어·스페인어·브라질 포르투갈어로 설정된 다섯 개 페르소나로 운영됐는데, 모두 ‘애플 지원팀의 앨리스(Alice from Apple Support)’라는 동일한 이름을 썼다.

녹취록에 따르면 에이전트는 먼저 소유자 확인 절차를 거친 뒤 4자리 또는 6자리 잠금 비밀번호를 불러달라고 요청하고, 이를 다시 읽어주며 확인한다. 이어 “누군가 매장에 이 기기를 가져와 잠금 해제를 시도해 애플 스토어가 보관 중이며 복구 절차가 열렸다”는 식의 이야기를 전한다. 그 다음 문자로 온 보안 링크를 받았는지 묻고, 못 받았다고 하면 다시 보내준 뒤 링크 속 잠금 해제 코드를 입력하도록 안내하고 통화를 끝낸다. 200건의 결과는 통화 중 끊음 100건, 무응답 침묵 48건, 부재중 24건, 오류·통화중 신호 28건으로 나뉘었다. 다만 보고서에는 실제로 몇 건에서 비밀번호나 애플 계정, 2단계 인증 코드가 넘어갔는지에 대한 집계는 없었다.

허술한 코드가 드러낸 506개 도메인 네트워크

SOCRadar가 이 방대한 규모를 확인할 수 있었던 건 운영자 측의 실수 때문이었다. 코드베이스에 있던 두 개의 ‘베어 상대 경로(bare relative path)’ 결함이 인증 없이도 웹 루트에 접근하도록 열려 있었고, 이 코드를 쓰는 모든 배포판이 같은 취약점을 안고 있었다. 이를 통해 506개 킷 계열 도메인 가운데 서로 다른 30개 설치본이 42개 도메인에서 운영 중이며, 506개 중 188개가 실제 살아 있는 상태임을 확인했다. AnonyMousKIT 자체 설치본은 2026년 3월부터 7월까지 691건의 발신을 기록했는데, 이는 30개 백엔드 전체를 합친 6092건에 비하면 일부에 불과하다.

특히 i-Blocker, Key Unlock, KG-KING이라는 세 매장은 2026년 4월 10일(현지시각) 같은 순간에 개설됐고, 동일한 지메일 계정으로 메일을 발송했다. SOCRadar는 이를 “서로 다른 세 고객이 아니라 한 명의 구매자가 세 개 브랜드를 동시에 운영한 사례”로 판단했다. 조사팀은 이 생태계를 개발자-구매자(매장 운영자)-실제 발송 담당자로 이어지는 계층 구조로 규정하며 “AnonyMousKIT는 피싱 킷이 아니라 범죄자를 고객으로 둔 소규모 소프트웨어 기업으로 보는 게 정확하다”고 밝혔다. 실제로 크레딧 묶음 판매, 공개 요금표, 등급별 구독, 고객지원, 상태 추적, 인프라 교체 절차까지 갖추고 있었다.

이메일 유인 문구를 보면 “당신의 기기가 발견됐습니다(Your device has been found)”가 691건 중 308건, “경고(Alert)”가 157건으로 가장 많이 쓰였다. 발신자 표시명은 애플, 파인드 마이, 애플 지원팀, 애플 어시스턴스 등을 흉내 냈다. 691건 중 627건이 noreplyapple00000@gmail.com이라는 한 무료 지메일 계정을 통해 발송됐고, 다른 두 계정은 각각 20건, 2건에 그쳤다. 691건 중 678건에는 요하네스버그, 아부자, 부에노스아이레스, 마푸토, 뭄바이 등 실제 도시명을 넣은 위치 정보가 담겼고, 피해자가 클릭하는 페이지는 토큰이 붙은 /help?TOKEN 형식 주소로 제공됐다.

지역별로는 남아프리카공화국이 전체 6092건 중 1735건을 차지해 가장 많았고, AnonyMousKIT 자체 691건 중 64건은 일반 소비자가 아닌 기관 도메인으로 발송됐다. 이 중 27건은 남아공 정부 이메일 주소였다. SOCRadar는 “이들이 표적이 된 건 직책 때문이 아니라 해당 기기가 도난당했기 때문”이라고 설명했다. 관련 캠페인은 전 세계에 걸쳐 있었지만 남아공, 인도네시아, 이탈리아, 인도, 케냐, 브라질에 특히 집중됐다.

기술적 우회는 이미 한계, 관건은 사회공학

흥미로운 대목은 이 플랫폼이 판매하는 잠금 해제 도구 자체의 실효성이다. 패널에서 제공하는 네 가지 언락 도구는 사실 ‘미끼’에 가깝다는 게 SOCRadar의 분석이다. 전체 6092건의 표적 기기 가운데 5649건, 즉 92.7%가 A12 이상 칩셋을 탑재하고 있었는데, 하드웨어 자체를 파고드는 checkm8 부트롬 익스플로잇은 A5부터 A11까지만 적용된다. A12·A13용 공개 부트롬 익스플로잇이 보고서 발표 두 달 전인 2026년 6월 18일(현지시각) 공개돼 이 개념증명(PoC)이 여전히 남아 있긴 하지만, 개발자들은 이를 물리적으로 기기를 확보하고 DFU 모드에 진입해야 하는 ‘테더드(tethered)’ 방식이라고 설명했다. 이 방식은 기기를 생산 모드로 되돌리거나 원시 iBoot 이미지를 구동하는 데 그쳐, 보안 엔클레이브를 뚫거나 잠금 비밀번호를 복구하거나 액티베이션 락을 해제하지는 못한다.

결국 기술적 우회 수단이 막혀 있기 때문에 범죄 조직이 택한 길이 AI 음성을 이용한 사회공학이었던 셈이다. SOCRadar는 “자동화된 대형언어모델(LLM) 기반 음성 채널이 이 플랫폼의 핵심 혁신”이라고 짚었다. 애플은 자사 지침에서 “고객 지원을 위해 비밀번호나 기기 잠금 코드, 2단계 인증 코드를 요구하는 일이 없다”고 명시하고 있다.

이런 방식의 위협이 처음은 아니다. 앞서 3월 보안업체 미라지 시큐리티(Mirage Security)는 상용 음성합성(TTS) 기능을 핵심 기능으로 탑재한 구독형 보이스피싱 서비스를 분석했고, The Hacker News도 5월에 이보다 앞선 AI 보이스피싱 킷을 보도한 바 있다. 인포블록스(Infoblox) 위협 인텔리전스팀 역시 5월 DNS 트래픽 분석을 통해 같은 언락킷 생태계를 확인하고, 2022년 3월부터 2026년 5월 사이 발견된 악성 도메인 4244개 목록을 공개했다. 인포블록스 연구원들은 “기술적 도구와 사회공학을 결합하면서 도둑들이 기기를 대규모로 해제하고 휴대폰 절도를 수익 사업으로 만들 방법을 갖게 됐다”고 밝혔다. SOCRadar는 조사 마지막 날까지도 AnonyMousKIT가 정상 가동 중이었다고 전하며, 같은 코드를 쓰는 매장들을 계속 추적할 계획이라고 밝혔다.