Riset baru yang dibagikan kepada Axios menunjukkan bahwa peretas menemukan cara baru untuk menginfeksi iPhone dengan spyware, bahkan ketika korban tidak pernah mengeklik tautan berbahaya. Temuan ini menunjukkan tren yang mengkhawatirkan dalam spyware iPhone tanpa-klik, di mana sekadar memuat halaman web mungkin sudah cukup untuk menempatkan perangkat dalam risiko.

Detail yang tersedia dari laporan tersebut terbatas, jadi tulisan ini berpegang pada apa yang telah dipublikasikan dan menjelaskan maknanya dalam istilah praktis.

Bagaimana Hanya Menjelajah Dapat Menginfeksi iPhone

Klaim inti dalam riset tersebut adalah bahwa peretas dapat mengirimkan spyware ke iPhone tanpa korban mengeklik tautan berbahaya. Dalam serangan phishing tipikal, pengguna harus melakukan tindakan: mengetuk tautan, membuka file, atau menyetujui prompt. Di sini, langkah tersebut dilaporkan dihilangkan dari prosesnya.

Hal itu penting karena sebagian besar saran keamanan berfokus pada perilaku pengguna: jangan mengeklik tautan mencurigakan, jangan membuka lampiran yang tidak dikenal. Kebiasaan itu masih berguna, tetapi memberikan perlindungan yang lebih sedikit ketika serangan dirancang untuk bekerja di latar belakang saat seseorang menjelajah secara normal.

Browser adalah tempat yang wajar untuk serangan semacam ini. Browser terus-menerus memproses konten yang tidak tepercaya dari seluruh internet, termasuk halaman, skrip, gambar, dan iklan. Jika penyerang menemukan celah dalam cara konten tersebut ditangani, halaman yang dijebak dapat menjalankan kode di perangkat. Kami telah membahas bagaimana penyerang mengubah pengiriman berbasis browser dalam laporan kami tentang peretas yang kini merakit malware di browser, dan prinsip yang sama berlaku di sini: browser itu sendiri menjadi jalur pengiriman.

Ringkasan yang kami tinjau tidak menyebutkan kerentanan spesifik, kelompok ancaman, atau korban, jadi kami tidak akan berspekulasi tentang hal itu.

Siapa yang Paling Berisiko Terhadap Spyware Ini

Spyware jenis ini secara historis dikaitkan dengan pengawasan bertarget daripada infeksi massal, tetapi ringkasan riset tidak menyebutkan siapa yang menjadi target dalam kasus ini. Kami tidak dapat membuat klaim tentang korban spesifik.

Yang dapat dikatakan adalah bahwa siapa pun yang menjelajahi web di iPhone terpapar pada kategori risiko umum, karena jalur serangan berjalan melalui penjelajahan biasa. Orang-orang dengan profil lebih tinggi, seperti jurnalis, aktivis, eksekutif, dan staf pemerintah, umumnya memiliki lebih banyak alasan untuk mengambil tindakan pencegahan ekstra, karena mereka lebih mungkin menjadi sasaran penyerang dengan sumber daya besar.

Bagi sebagian besar orang, risiko praktisnya kemungkinan lebih rendah daripada kelompok tersebut, tetapi pelajarannya sama: asumsi paling aman adalah bahwa perangkat yang tidak ditambal adalah perangkat yang lebih lemah.

Apa yang Dilakukan dan Tidak Dilakukan VPN

Di sinilah ekspektasi perlu realistis. VPN mengenkripsi lalu lintas antara perangkat Anda dan server VPN serta menyembunyikan alamat IP Anda dari situs yang Anda kunjungi. Itu berharga untuk privasi di Wi-Fi publik dan untuk membatasi apa yang dapat dilihat oleh penyedia internet Anda.

Tetapi VPN tidak memperbaiki kerentanan di browser atau sistem operasi Anda. Jika halaman berbahaya mengeksploitasi celah dalam cara iPhone Anda memproses konten web, eksploitasi tersebut tiba melalui koneksi yang Anda pilih untuk dibuat, terlepas dari apakah koneksi itu dienkripsi atau tidak. Terowongan VPN membawa halaman ke perangkat Anda sama seperti membawa halaman lain apa pun.

VPN mungkin menawarkan bantuan tidak langsung tertentu jika menyertakan pemblokiran opsional domain berbahaya yang diketahui, meskipun itu bergantung pada layanannya dan bukan pengganti penambalan. DNS terenkripsi, yang dijelaskan dalam entri glosarium kami tentang DNS over HTTPS, menjaga pencarian tetap privat dari pihak ketiga, tetapi juga tidak menghentikan eksploitasi browser.

Singkatnya: VPN adalah alat privasi, bukan pertahanan terhadap eksploitasi tanpa-klik. Pembaruan perangkat lunak adalah pertahanan utama. Untuk contoh sebanding tentang bagaimana penyerang merangkai celah browser, lihat liputan kami tentang peretas Tiongkok yang mengeksploitasi zero-day Chrome dan Windows.

Langkah-Langkah untuk Melindungi iPhone Anda Sekarang

Anda tidak dapat mengendalikan apakah suatu celah ada, tetapi Anda dapat memperkecil jendela waktu di mana celah itu berguna bagi penyerang.

  • Pasang pembaruan iOS terbaru. Patch keamanan adalah perlindungan paling langsung terhadap eksploitasi berbasis browser.
  • Aktifkan pembaruan otomatis. Buka Pengaturan, lalu Umum, lalu Pembaruan Perangkat Lunak, dan aktifkan pembaruan otomatis agar Anda tidak tertinggal.
  • Pertimbangkan Mode Lockdown jika Anda berisiko tinggi. Mode Lockdown Apple adalah pengaturan opsional yang mengurangi permukaan serangan perangkat. Ini membatasi beberapa fitur, sehingga cocok untuk orang dengan profil ancaman yang meningkat rather than semua orang.
  • Mulai ulang iPhone Anda sesekali. Ini adalah kebiasaan higiene umum dan bukan jaminan penghapusan.
  • Jaga aplikasi tetap diperbarui dan hapus yang tidak Anda gunakan.

Apa Artinya Bagi Anda

Poin utama yang perlu diambil adalah bahwa "jangan mengeklik tautan mencurigakan" tidak lagi cukup dengan sendirinya. Jika riset tersebut benar, penjelajahan biasa dapat menjadi bagian dari rantai serangan. Itu tidak berarti Anda harus berhenti menggunakan ponsel atau panik. Artinya, kebiasaan pembaruan Anda lebih penting dari sebelumnya, dan Anda harus memperlakukan VPN sebagai salah satu lapisan privasi rather than perisai terhadap spyware.

Kesimpulan

Spyware iPhone tanpa-klik adalah pengingat bahwa browser adalah salah satu bagian paling terekspos dari perangkat apa pun. Pasang pembaruan iOS terbaru hari ini, aktifkan pembaruan otomatis, dan aktifkan Mode Lockdown jika Anda yakin Anda bisa menjadi target. Untuk konteks lebih lanjut tentang bagaimana serangan berbasis browser bekerja, baca tulisan kami tentang perakitan malware di dalam browser dan kampanye eksploitasi zero-day Chrome.