Nuove ricerche condivise con Axios suggeriscono che gli hacker stanno trovando nuovi modi per infettare gli iPhone con spyware, anche quando le vittime non cliccano mai su un link malevolo. Il risultato indica una tendenza preoccupante nello spyware iPhone a zero clic durante la navigazione, dove semplicemente caricare una pagina web può essere sufficiente per mettere a rischio un dispositivo.

I dettagli disponibili dal rapporto sono limitati, quindi questo post si attiene a quanto è stato pubblicato e spiega cosa significa in termini pratici.

Come la sola navigazione può infettare un iPhone

L'affermazione centrale della ricerca è che gli hacker possono distribuire spyware agli iPhone senza che la vittima clicchi su un link malevolo. In un tipico attacco di phishing, l'utente deve compiere un'azione: toccare un link, aprire un file o approvare una richiesta. Qui, quel passaggio viene presumibilmente rimosso dal processo.

Questo è importante perché la maggior parte dei consigli sulla sicurezza si concentra sul comportamento dell'utente: non cliccare su link sospetti, non aprire allegati sconosciuti. Queste abitudini sono ancora utili, ma offrono meno protezione quando un attacco è progettato per funzionare in background mentre qualcuno naviga normalmente.

Il browser è un luogo naturale per questo tipo di attacco. Elabora costantemente contenuti non attendibili da tutto il web, incluse pagine, script, immagini e annunci pubblicitari. Se un attaccante trova una falla nel modo in cui questi contenuti vengono gestiti, una pagina con trappola può eseguire codice sul dispositivo. Abbiamo trattato di come gli attaccanti stanno cambiando la distribuzione basata su browser nel nostro rapporto sugli hacker che ora assemblano malware nel browser, e lo stesso principio si applica qui: il browser stesso diventa la via di distribuzione.

Il riepilogo che abbiamo esaminato non nomina vulnerabilità specifiche, gruppi di minaccia o vittime, quindi non faremo speculazioni al riguardo.

Chi è più a rischio da questo spyware

Spyware di questo tipo è stato storicamente associato alla sorveglianza mirata piuttosto che all'infezione di massa, ma il riepilogo della ricerca non dice chi viene preso di mira in questo caso. Non possiamo fare affermazioni su vittime specifiche.

Ciò che si può dire è che chiunque navighi sul web su un iPhone è esposto alla categoria generale di rischio, perché il percorso di attacco passa attraverso la navigazione ordinaria. Le persone con un profilo più elevato, come giornalisti, attivisti, dirigenti e personale governativo, hanno generalmente più motivi per prendere precauzioni extra, perché è più probabile che siano di interesse per attaccanti con molte risorse.

Per la maggior parte delle persone, il rischio pratico è probabilmente inferiore rispetto a quei gruppi, ma la lezione è la stessa: l'ipotesi più sicura è che un dispositivo non aggiornato sia un dispositivo più debole.

Cosa fa e cosa non ferma una VPN

Qui è dove le aspettative devono essere realistiche. Una VPN crittografa il traffico tra il tuo dispositivo e il server VPN e nasconde il tuo indirizzo IP dai siti che visiti. Questo è prezioso per la privacy su Wi-Fi pubblici e per limitare ciò che il tuo provider internet può vedere.

Ma una VPN non risolve una vulnerabilità nel tuo browser o sistema operativo. Se una pagina malevola sfrutta una falla nel modo in cui il tuo iPhone elabora i contenuti web, l'exploit arriva attraverso la connessione che hai scelto di effettuare, indipendentemente dal fatto che quella connessione sia crittografata. Il tunnel VPN trasporta la pagina al tuo dispositivo proprio come trasporterebbe qualsiasi altra pagina.

Una VPN può offrire un aiuto indiretto se include il blocco opzionale di domini malevoli noti, anche se ciò dipende dal servizio e non sostituisce l'aggiornamento. Il DNS crittografato, spiegato nella nostra voce di glossario su DNS over HTTPS, mantiene le risoluzioni private da terze parti, ma allo stesso modo non ferma un exploit del browser.

In breve: una VPN è uno strumento per la privacy, non una difesa contro gli exploit a zero clic. Gli aggiornamenti software sono la difesa principale. Per un esempio comparabile di come gli attaccanti concatenano le falle del browser, consulta la nostra copertura sugli hacker cinesi che sfruttano zero-day di Chrome e Windows.

Passi per proteggere il tuo iPhone ora

Non puoi controllare se esiste una falla, ma puoi ridurre la finestra in cui è utile per un attaccante.

  • Installa l'ultimo aggiornamento di iOS. Le patch di sicurezza sono la protezione più diretta contro gli exploit basati sul browser.
  • Attiva gli aggiornamenti automatici. Vai su Impostazioni, poi Generali, poi Aggiornamento software, e abilita gli aggiornamenti automatici per non rimanere indietro.
  • Considera la Modalità Isolamento se sei ad alto rischio. La Modalità Isolamento di Apple è un'impostazione opzionale che riduce la superficie di attacco del dispositivo. Limita alcune funzionalità, quindi si adatta a persone con un profilo di minaccia elevato piuttosto che a tutti.
  • Riavvia il tuo iPhone occasionalmente. Questa è un'abitudine igienica generale e non una garanzia di rimozione.
  • Mantieni le app aggiornate e rimuovi quelle che non usi.

Cosa significa per te

Il punto chiave è che "non cliccare su link sospetti" non è più sufficiente da solo. Se la ricerca è corretta, la navigazione ordinaria può far parte della catena di attacco. Questo non significa che dovresti smettere di usare il telefono o farti prendere dal panico. Significa che le tue abitudini di aggiornamento contano più che mai, e che dovresti trattare una VPN come uno strato di privacy piuttosto che come uno scudo contro lo spyware.

Conclusione

Lo spyware iPhone a zero clic durante la navigazione è un promemoria che il browser è una delle parti più esposte di qualsiasi dispositivo. Installa oggi l'ultimo aggiornamento di iOS, attiva gli aggiornamenti automatici e abilita la Modalità Isolamento se ritieni di poter essere un bersaglio. Per maggiori contesto su come funzionano gli attacchi basati sul browser, leggi i nostri articoli sull'assemblaggio di malware nel browser e sulla campagna di sfruttamento zero-day di Chrome.