Sekoia: fałszywe strony szpiegują użytkowników iPhone’ów i Androida

Atakujący nie czekają jednak na przypadkowe wizyty. Sięgają po fałszywe zaproszenia kalendarzowe, powiadomienia o wydarzeniach i starannie przygotowane wiadomości, które mają skłonić wybrane osoby do kliknięcia linku.

Po wejściu na stronę kod JavaScript sprawdza przeglądarkę, model urządzenia i system operacyjny. Na tej podstawie napastnicy dobierają metodę włamania spośród trzech różnych łańcuchów luk. Część ataków działa w technice zero-click, czyli bez żadnego dodatkowego działania ofiary, takiego jak kliknięcie w link czy pobranie pliku.

Dlaczego łatane luki wciąż są groźne

Kampanie opierają się na lukach typu N-day. To podatności, które już wykryto i naprawiono w oficjalnych aktualizacjach – Apple i Google wydały poprawki – ale nadal można je wykorzystać na urządzeniach, które ich nie dostały. Odkładanie aktualizacji telefonu oznacza więc realne ryzyko, nawet gdy producent rozwiązał problem.

Eksperci zalecają, by:

• instalować najnowsze wersje iOS lub Androida, gdy tylko się pojawią,
• aktualizować aplikacje i przeglądarkę,
• nie klikać linków z nieoczekiwanych wiadomości ani nieznanych zaproszeń kalendarzowych,
• sprawdzać adres strony przed podaniem danych, zamiast ufać jej wyglądowi.

Sprawa pokazuje, że zwlekanie z aktualizacją to nie tylko ominięcie nowych funkcji. To pozostawienie telefonu podatnego na znane luki, po które sięgają szpiedzy.