--- title: "Sahte Apple Destek AI Aramaları, Çalıntı Cihaz Sahiplerinden Parolalarını ve 2FA Kodlarını İstiyor" url: "https://teknotayf.com/haber/sahte-apple-destek-ai-aramalari-calinti-cihaz-sahiplerinden-parolalarini-ve-2fa-kodlarini-istiyor" markdown_url: "https://teknotayf.com/haber/sahte-apple-destek-ai-aramalari-calinti-cihaz-sahiplerinden-parolalarini-ve-2fa-kodlarini-istiyor.md" site: "teknotayf.com" language: "tr" published: "2026-08-26 10:19:32" updated: "2026-10-02 22:16:09" category: "Siber Güvenlik" tags: ["Phishing","Cybersecurity","Apple Destek"] source: "The Hacker News" --- # Sahte Apple Destek AI Aramaları, Çalıntı Cihaz Sahiplerinden Parolalarını ve 2FA Kodlarını İstiyor > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/sahte-apple-destek-ai-aramalari-calinti-cihaz-sahiplerinden-parolalarini-ve-2fa-kodlarini-istiyor > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Siber güvenlik araştırmacıları, çalıntı Apple cihazlarının Aktivasyon Kilidini kaldırmak için kurulan PhaaS platformu AnonyMousKIT’i ortaya çıkardı. Platform, kurbanlara Apple Destek personeli gibi davranan kiralık yapay zekâ ses ajanlarıyla arayarak cihaz şifresi, Apple Kimliği ve canlı 2FA kodu istiyor. Araştırmaya göre sistem kredi bazlı çalışıyor, çok kanallı tuzaklar kullanıyor ve analiz döneminde aktif kalmaya devam etti. - **Yayın tarihi:** 2026-08-26 10:19 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Phishing, Cybersecurity, Apple Destek - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/08/fake-apple-support-ai-calls-target.html) ![Sahte Apple Destek AI Aramaları, Çalıntı Cihaz Sahiplerinden Parolalarını ve 2FA Kodlarını İstiyor](https://teknotayf.com/assets/uploads/2026/08/9335ba58df037a9049511bede3458c3c.jpg) Siber güvenlik araştırmacıları, çalıntı cihazların Apple Aktivasyon Kilidini kaldırmak için kurulmuş bir phishing-as-a-service platformunun ayrıntılarını açıkladı. Platform, hırsızlık mağdurlarını arayan kiralık yapay zekâ ses ajanları kullanıyor ve kendisini Apple Destek olarak tanıtarak cihaz parola kodunu istiyor. ![iphone-passcode.jpg](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjZ7ibePn1YRPkAC27RIrMl_O-41pR7ieF0Mkpr8WUTkzCddWjpttUiIrXWI3CYGukgNR8eoppnOFUYjzSbEm66XiK4ttGge7-KicMnSf49N5L-wKXyf4NIzWi1Yi5JbKQXPYpmtWfZfMADrNswG9-ZfOOE9LjWwUFl7twHmvEskgU9iXPR5AGEQ4hUETo/s1700-nu-rw-lo-l85-e365/iphone-passcode.jpg) SOCRadar Tehdit Araştırma Birimi STRU, **AnonyMousKIT** olarak izlediği platformun kredi bazlı çalıştığını ve tek bir kurban kaydı üzerinden e-posta 1,50 kredi, gönderici kimliğine göre fiyatlandırılan SMS, WhatsApp, 1 kredilik kayıtlı sesli arama ve 2 kredilik yapay zekâ ses ajanı olmak üzere beş kanaldan tuzak sürdüğünü bildirdi. Hedef, yakın zamanda kaybolan veya çalınan Apple cihazlarının sahipleri. Sayfalar ve aramalar her birinden 4 veya 6 haneli cihaz parola kodunu, ardından Apple Kimliği bilgilerini ve son olarak canlı iki faktörlü kimlik doğrulama 2FA kodunu istiyor. Apple’ın kendi rehberinde şirketin destek sağlamak için parola, cihaz parola kodu veya 2FA kodu istemediği belirtiliyor. “AnonyMousKIT, bir phishing kiti olarak değil, suçlu bir müşteri tabanına sahip küçük bir yazılım şirketi olarak anlaşılmalı. Kredi paketleri, yayınlanmış fiyatlandırma, katmanlı abonelikler, müşteri desteği, durum takibi ve altyapı değiştirme protokolleri içeriyor” dedi SOCRadar Pazartesi günü yayımlanan raporunda. iOS 7’de tanıtılan **Apple Activation Lock**, donanımı belirli bir Apple Kimliğine bağlar ve sahibinin hesabı kaldırılana kadar çalınan telefonun kullanılamaz kalmasını sağlar. ![core-d.png](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjVYuoalvwUlwvLZFDideJ8jW4rz-IodX0Lwi7uyP7Ab0wiDeu_BqVhPDdejQQ65MC3p9Xc4MApnHz56NJ5SDc1HMg0DvozkkGYv9TGtDLCh26v1yD5-GyzQxnA5-6A6B4beW96H_6FyrByq22cvU5JDF-i8e5GIfV4wg1SpCvjwAJt74FaqkAb2gzqE7ll/s728-nu-rw-lo-l85-e365/core-d.png) Tuzaklar, çalınan cihazın kendisinden çekilen dahili Apple model tanımlayıcısını ve canlı Find My durumunu gösteriyor. Bağlantıyı takip eden mağdurlar, cihazın bildirilen konumunun animasyonlu haritasını gösteren Apple markalı bir yakalama sayfasına ulaşıyor. Yapay zekâ ses kanalı, e-postadan sonra en iyi belgelenen vektör. Operatörün ticari ses platformu Vapi ile olan hesabından 200 arama kaydı, 55 transkript ve beş yapılandırılmış persona kurtarıldı. Araştırma raporu hesabın Vapi’ye bildirilip bildirilmediğini söylemiyor ve iki şirket de bunun hâlâ aktif olup olmadığına dair kamu açıklaması yapmadı. Beş persona da İngilizce, İspanyolca ve Portekizce’de aynı çevrilmiş kimliği taşıyor: Apple Destek’ten Alice. ![AnonyMousKIT.jpg](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiVqPy0GOC-txZsVja8YZYxQP7mZBGGUEU3Gv8F5cudFA-B1G-_Ig6JxJ6EkCacnfdfxUUUesd-qfrDTbYjVnwfUSP6aPDzaK_HcPr4rJtbf3qhjnN5IzlXOYSR1CKN7LzvgufH0pzouWb-fosRQhJROWXpPhKllC4eUxLpBSdLhmtXy6FBx5rwPG8-4Nw/s1700-nu-rw-lo-l85-e365/AnonyMousKIT.jpg) Aramalar 31 Ağustos 2025 ile 30 Mayıs 2026 arasında gerçekleşti ve **200 çağrı**’nın 179’u Brezilya’daki numaraları aradı. Kurtarılan transkriptte ajan mağdurdan sahipliği onaylamasını istiyor, ardından dört veya altı haneli parola kodunu talep edip rakamları onay için geri okuyor. Ardından birinin Aktivasyon Kilidini kaldırmak için Apple Store’a gittiğini açıklıyor ve bir kurtarma bağlantısının kısa mesajla gelip gelmediğini soruyor. Araştırmacılar 200 aramanın toplam maliyetini 19,24 dolar, yani yaklaşık her biri 9,6 sent olarak hesapladı. Raptaki sonuç tablosu 200 aramayı dört sonuca ayırıyor: 100 mağdur telefonu kapattı, 48 sessizlik zaman aşımı, 24 yanıtsız ve 28 platform hatası veya meşgul sinyal. Beş kanal için de yakalanan parola kodu, Apple Kimliği veya 2FA kodu sayısı raporda yer almıyor. Günlükler SOCRadar’a paylaşılan kod tabanındaki iki çıplak göreli dosya yolundan ulaştı. Bu yol web köküne çözümleniyor ve kimlik doğrulamasız HTTP erişimine izin veriyor. Bu kod tabanının her dağıtımı kusuru miras alıyor. ![AnonyMousKIT-1.jpg](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiyRw_JGWbffzDdEGQslA4uGs1hmO1Zu_bs3q8ctrIe8c1l32rxsts_U89bx2ylofS9l194wXlsjTPL6vmsBtzta2keR86a7zBv7IQThAe1whg9WY-6MHGACX-IyLuyekOeEUP36M8-DmhhnwFAaCAMpNleySN3-41qptoU_5Hu-cuWlOyl8tUGxC79Kd4/s1700-nu-rw-lo-l85-e365/AnonyMousKIT-1.jpg) 506 kit-aile alan adının taraması 42 alanda erişilebilen 30 farklı kurulum tespit etti, 506’nın 188’i canlıydı. AnonyMousKIT kurulumu Mart-Temmuz 2026 arasında 691 gönderim girişimi kaydetti, 30 arka uç genelinde toplam 6.092’ydi. i-Blocker, Key Unlock ve KG-KING adlı üç mağaza 10 Nisan 2026’da aynı saniyede açıldı ve aynı Gmail yönlendirme hesaplarını paylaşıyor. SOCRadar bu deseni üç ayrı müşteri yerine tek bir alıcının üç marka işletmesi olarak değerlendirdi. Araştırmacılar e-posta tuzaklarının şu özelliklerini kaydetti: En çok kullanılan iki konu başlığı “Your device has been found” 691’den 308’i ve “Alert” 157’ydi. Görüntü adları Apple, Find My, Apple Support ve Apple Assistance olarak taklit edildi. Kayıtlı gönderimlerin 627’si tek bir ücretsiz Gmail hesabı noreplyapple00000[@]gmail[.]com üzerinden iletildi, diğer iki yönlendirme hesabı için sırasıyla 20 ve 2 gönderim vardı. 691 tuzaktan 678’i Johannesburg, Abuja, Buenos Aires, Maputo ve Mumbai dahil bir şehri adlandıran konum belirteci taşıyordu. Mağdur odaklı yakalama sayfaları belirteçli /help?TOKEN URL’lerinden sunuldu. Güney Afrika aile genelinde 6.092 gönderimin 1.735’ini oluşturuyor ve AnonyMousKIT’in kendi 691 gönderiminden 64’ü 27’si Güney Afrika hükümet adresleri olmak üzere tüketici dışı alanlara ulaştı. SOCRadar bu alıcıların rollerinden değil cihazlarının çalınmış olması nedeniyle seçildiğini söyledi. Rapor, panelde sunulan dört kilit açma aracının yem olarak hizmet ettiğini belirtti, çünkü hedeflenen cihazların 6.092’sinden 5.649’u yani %92,7’si A12 silikonu veya daha yenisi çalıştırıyor. ![AnonyMousKIT-2.jpg](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgIz57q2BGeUxq3Ut2KT4ANopkMyEIXClIF1QDczeyVg9b9lVwJUW7LoF4LP12T52flZSMcF1T00XWMuxk2BaDvwLydjmYLFVGPIz9sBPtkExv4RgmcaPMXIxHiDn9q4mKkUjZ2l8smUvbjlXVSxjfhmDtqvLPpUSJKyw9IW1T6vMueqGLcU2cEUzIWw2I/s1700-nu-rw-lo-l85-e365/AnonyMousKIT-2.jpg) checkm8 bootrom sömürüsü yalnızca A5’ten A11’e kadar çiplere ulaşıyor. Apple checkm8 neslinin ötesine geçtiğinden teknik atlatmaların artık modası geçmiş olduğu da belirtiliyor. A12 ve A13 için açık bir bootrom sömürüsü 18 Haziran 2026’da, rapordan iki ay önce yayımlandı ve kanıt kavramı hâlâ canlı. Yazarları bunun fiziksel sahip olma ve cihaz yazılım güncelleme DFU modu gerektiren bağlı bir bootrom sömürüsü olarak tanımlıyor ve araştırmada Secure Enclave ihlali gösterilmiyor. Kontrol aracı cihazı üretim moduna düşürüyor veya ham bir iBoot görüntüsü başlatıyor ve her iki eylem de cihaz parola kodunu kurtarmıyor veya Aktivasyon Kilidini kaldırmıyor. SOCRadar, otomatikleştirilmiş LLM destekli ses vektörünü platformun birincil yeniliği olarak tanımladı. ![tl-d.jpg](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjVV2rRkX8tRMF6gCzemvQNpwFwGxRWxY1cJEYfoLLSj1EZYJOlj5WTR77t0i6kELXujYcaHTpRDqTjCbVHH5Pnh7wzxUiKP5j4dsKkWIMlp2bmpZsL0jeAsA_19pHH5UPtyBvNkZdyGEULOAsXPcraMP5CYjQRFefhXRSdEjYkrdcpUnc4ILcvcdEfAauE/s728-nu-rw-lo-l85-e365/tl-d.jpg) Mart ayında Mirage Security, çekirdek özellik olarak ticari metinden sese gömülü bir abonelik vishing hizmetini analiz etti ve The Hacker News Mayıs ayında daha önceki bir yapay zekâ vishing kitini haber yaptı. Infoblox Threat Intel Mayıs ayında DNS telemetrisi kullanarak aynı kilit açma kiti ekosistemini belgeledi ve Mart 2022 ile Mayıs 2026 arasında tespit edilen 4.244 kötü amaçlı alan adından oluşan bir liste yayımladı. “Teknik araçları sosyal mühendislikle birleştirerek hırsızlar artık cihazları ölçekte açmanın ve telefon hırsızlığını kârlı hale getirmenin bir yoluna sahip” dedi Infoblox Threat Intel araştırmacıları Maël Le Touz ve Elena Puga. Farklı üst düzey alan adları arasında aynı ikinci seviye etiketler, tek bir operatöre atıf yerine bir desen eşleşmesidir. “Apple asla bir web sitesine giriş yapmanızı istemez, iki faktörlü kimlik doğrulama iletişim kutusunda Kabul’e dokunmanızı istemez veya şifrenizi, cihaz parola kodunuzu veya iki faktörlü kimlik doğrulama kodunuzu sağlamanızı veya bunu herhangi bir web sitesine girmenizi istemez” dedi Apple 15 Haziran 2026’da yayımlanan destek dokümantasyonunda. Apple kullanıcılara Apple markalı phishing e-posta ve kısa mesajlarını reportphishing@apple.com adresine iletmelerini yönlendiriyor. Araştırmacılar yüksek değerli Apple Kimliklerinin gerçek donanım güvenlik anahtarlarına taşınmasını önerdi, bunun gerçek zamanlı 2FA engellemenin nihai hedefini tamamen ortadan kaldırdığını söylediler. The Hacker News araştırmayla ilgili yorum için Apple’a ulaştı; yayın zamanı itibarıyla şirket yanıt vermemişti. Gelişme, Alman ve ABD kolluk kuvvetlerinin Temmuz ayında Kratos’u dağıtmasıyla geldi ve 200’den fazla sunucu çevrimdışı alındı, Endonezya makamları ise adamın geliştirdiğini ve işlettiğini söyledikleri kişiyi tutukladı. “Platform analizimizin son gününde hâlâ çalışıyordu. SOCRadar onu, kardeş mağazalarını ve daha geniş paylaşılan kod tabanı ailesini takip etmeye devam ediyor ve önemli değişiklikleri raporlayacak” dedi şirket. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/sahte-apple-destek-ai-aramalari-calinti-cihaz-sahiplerinden-parolalarini-ve-2fa-kodlarini-istiyor Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.