Rzuć wszystko i pilnie aktualizuj telefon. Nie musisz nic klikać, żeby stracić dane

Rosyjscy hakerzy wykorzystują zainfekowane strony internetowe do atakowania iPhone'ów i smartfonów z Androidem. Wystarczy odwiedzić witrynę, by na niezałatanym urządzeniu uruchomić złośliwy kod. Zagrożone są hasła, wiadomości, zdjęcia, a nawet dane z komunikatorów. 

Przez lata użytkownikom powtarzano, żeby nie klikali podejrzanych linków, nie instalowali dziwnych aplikacji i nie otwierali załączników od nieznajomych. Proste, prawda? Tymczasem cyberprzestępcy nauczyli się, że wymaganie jakiejkolwiek aktywności od ofiary to niepotrzebna komplikacja. Teraz wystarczy, że ktoś odwiedzi odpowiednio przygotowaną stronę internetową.

Badacze firmy Sekoia ujawnili kampanię cyberataków wymierzoną w użytkowników iOS i Androida. Operację, nazwaną Poisoned Source, z umiarkowaną lub wysoką pewnością przypisują grupie APT29, znanej również jako Midnight Blizzard i powiązanej z rosyjskim wywiadem.

Wchodzisz na stronę, a hakerzy sprawdzają twój telefon

Przestępcy wykorzystali kilka metod dystrybucji złośliwego kodu. Przejmowali legalne witryny internetowe, tworzyli fałszywe strony przypominające prawdziwe serwisy, a także zaatakowali ukraińską usługę analityczną Plerdy.

Ten ostatni przypadek jest szczególnie interesujący. Między 27 sierpnia a 3 września 2026 roku złośliwy kod znajdował się w skrypcie analitycznym wykorzystywanym przez tysiące stron internetowych, przede wszystkim na Ukrainie. Wśród potencjalnie narażonych witryn były również serwisy związane z wojskiem i przemysłem obronnym.

Mechanizm ataku był stosunkowo prosty z punktu widzenia ofiary. Po otwarciu strony skrypt JavaScript identyfikował urządzenie, system operacyjny i wersję przeglądarki. Następnie serwer przestępców dobierał odpowiedni zestaw exploitów.

Nie trzeba było niczego pobierać, instalować ani potwierdzać. Samo odwiedzenie strony mogło wystarczyć do kradzieży danych, jeżeli urządzenie korzystało z podatnej wersji oprogramowania.

Hasła, WhatsApp, Telegram i zdjęcia. Hakerzy nie wybrzydzali

Zakres kradzionych informacji zależał od systemu i wykorzystywanej podatności.

W przypadku iPhone'ów z iOS 16.7 atakujący koncentrowali się na plikach cookies przeglądarki Safari. Znacznie poważniejsze możliwości dawał zestaw exploitów DarkSword, wymierzony w urządzenia z iOS 18.5.

Pozwalał on wykradać między innymi wiadomości SMS i iMessage, bazy danych WhatsAppa i Telegrama, hasła zapisane w pęku kluczy Apple, zdjęcia, historię przeglądania oraz informacje o lokalizacji. Innymi słowy, znaczną część życia właściciela telefonu.

Na Androidzie wykorzystywano natomiast luki CVE-2026-3910 i CVE-2025-27038. Ataki dotyczyły określonych konfiguracji z Chrome w wersjach od 139 do 145, z wyjątkiem 143. Złośliwe oprogramowanie AndroSnitch umożliwiało kradzież zapisanych loginów, plików cookies, historii przeglądania i haseł do sieci Wi-Fi.

Co istotne, przestępcy korzystali z podatności typu n-day, czyli błędów, dla których poprawki bezpieczeństwa były już dostępne. Nie były to zatem nieznane wcześniej luki zero-day, lecz słabości urządzeń, których użytkownicy nie zainstalowali aktualizacji.

Apple i Google usunęły wszystkie podatności wykorzystane w opisanych atakach. Badacze podkreślają również, że analizowane złośliwe moduły nie zapewniały trwałego dostępu do urządzenia. Ponowne uruchomienie telefonu przerywało ich działanie, choć oczywiście nie cofało wcześniejszej kradzieży informacji.

Najważniejszym zaleceniem pozostaje więc instalowanie aktualizacji systemu i przeglądarki. Samo unikanie podejrzanych witryn nie wystarczy, skoro przestępcy potrafili umieszczać złośliwy kod również na legalnych stronach.