Nieuw onderzoek dat met Axios is gedeeld, suggereert dat hackers nieuwe manieren vinden om iPhones met spyware te infecteren, zelfs wanneer slachtoffers nooit op een kwaadaardige link klikken. De bevinding wijst op een zorgwekkende trend in zero-click iPhone-spyware via browsen, waarbij het simpelweg laden van een webpagina al genoeg kan zijn om een apparaat in gevaar te brengen.

De details die beschikbaar zijn uit het rapport zijn beperkt, dus dit bericht houdt zich aan wat is gepubliceerd en legt uit wat het in praktische zin betekent.

Hoe alleen browsen al een iPhone kan infecteren

De kernbewering in het onderzoek is dat hackers spyware naar iPhones kunnen sturen zonder dat het slachtoffer op een kwaadaardige link klikt. Bij een typische phishingaanval moet de gebruiker een actie ondernemen: op een link tikken, een bestand openen of een prompt goedkeuren. Hier wordt die stap naar verluidt uit het proces verwijderd.

Dat is belangrijk omdat de meeste beveiligingsadviezen zich richten op gebruikersgedrag: klik niet op verdachte links, open geen onbekende bijlagen. Die gewoonten zijn nog steeds nuttig, maar ze bieden minder bescherming wanneer een aanval is ontworpen om op de achtergrond te werken terwijl iemand normaal browst.

De browser is een natuurlijke plek voor dit soort aanvallen. Hij verwerkt voortdurend niet-vertrouwde inhoud van het hele internet, waaronder pagina's, scripts, afbeeldingen en advertenties. Als een aanvaller een fout vindt in de manier waarop die inhoud wordt verwerkt, kan een met een valstrik voorbereide pagina code op het apparaat uitvoeren. We hebben besproken hoe aanvallers browsergebaseerde levering veranderen in ons rapport over hackers die nu malware in de browser samenstellen, en hetzelfde principe geldt hier: de browser zelf wordt de leveringsroute.

De samenvatting die we hebben bekeken noemt geen specifieke kwetsbaarheden, dreigingsgroepen of slachtoffers, dus we zullen er niet over speculeren.

Wie loopt het meeste risico door deze spyware

Dit soort spyware is historisch geassocieerd met gerichte surveillance in plaats van massale infectie, maar de onderzoekssamenvatting zegt niet wie in dit geval het doelwit is. We kunnen geen claims doen over specifieke slachtoffers.

Wat wel gezegd kan worden, is dat iedereen die op een iPhone op het web browst, blootstaat aan de algemene categorie van risico, omdat het aanvalspad via gewoon browsen loopt. Mensen met een hoger profiel, zoals journalisten, activisten, leidinggevenden en overheidspersoneel, hebben over het algemeen meer reden om extra voorzorgsmaatregelen te nemen, omdat zij eerder interessant zijn voor goed uitgeruste aanvallers.

Voor de meeste mensen is het praktische risico waarschijnlijk lager dan voor die groepen, maar de les is dezelfde: de veiligste aanname is dat een niet-gepatcht apparaat een zwakker apparaat is.

Wat een VPN wel en niet stopt

Hier moeten de verwachtingen realistisch zijn. Een VPN versleutelt het verkeer tussen je apparaat en de VPN-server en verbergt je IP-adres voor de sites die je bezoekt. Dat is waardevol voor privacy op openbare wifi en voor het beperken van wat je internetprovider kan zien.

Maar een VPN lost een kwetsbaarheid in je browser of besturingssysteem niet op. Als een kwaadaardige pagina een fout misbruikt in de manier waarop je iPhone webinhoud verwerkt, komt het exploit binnen via de verbinding die je hebt gekozen, of die verbinding nu versleuteld is of niet. De VPN-tunnel vervoert de pagina naar je apparaat, net zoals hij elke andere pagina zou vervoeren.

Een VPN kan enige indirecte hulp bieden als het optionele blokkering van bekende kwaadaardige domeinen bevat, hoewel dat afhangt van de dienst en geen vervanging is voor patchen. Versleutelde DNS, uitgelegd in ons woordenboekitem over DNS over HTTPS, houdt opzoekingen privé voor derden, maar het stopt evenmin een browserexploit.

Kortom: een VPN is een privacytool, geen verdediging tegen zero-click-exploits. Software-updates zijn de belangrijkste verdediging. Voor een vergelijkbaar voorbeeld van hoe aanvallers browserfouten aan elkaar koppelen, zie onze berichtgeving over Chinese hackers die Chrome- en Windows-zero-days misbruiken.

Stappen om je iPhone nu te beschermen

Je kunt niet bepalen of een fout bestaat, maar je kunt het venster verkleinen waarin die nuttig is voor een aanvaller.

  • Installeer de nieuwste iOS-update. Beveiligingspatches zijn de meest directe bescherming tegen browsergebaseerde exploits.
  • Schakel automatische updates in. Ga naar Instellingen, dan Algemeen, dan Software-update, en schakel automatische updates in zodat je niet achterloopt.
  • Overweeg Lockdown Mode als je een hoog risico loopt. Apples Lockdown Mode is een optionele instelling die het aanvalsoppervlak van het apparaat verkleint. Het beperkt sommige functies, dus het past bij mensen met een verhoogd dreigingsprofiel in plaats van bij iedereen.
  • Herstart je iPhone af en toe. Dit is een algemene hygiënegewoonte en geen garantie op verwijdering.
  • Houd apps bijgewerkt en verwijder apps die je niet gebruikt.

Wat dit voor jou betekent

De belangrijkste les is dat "klik niet op verdachte links" op zichzelf niet meer genoeg is. Als het onderzoek klopt, kan gewoon browsen deel uitmaken van de aanvalsketen. Dat betekent niet dat je moet stoppen met je telefoon te gebruiken of in paniek moet raken. Het betekent dat je updategewoonten belangrijker zijn dan ooit, en dat je een VPN moet behandelen als één laag van privacy in plaats van als een schild tegen spyware.

Conclusie

Zero-click iPhone-spyware via browsen is een herinnering eraan dat de browser een van de meest blootgestelde onderdelen van elk apparaat is. Installeer vandaag de nieuwste iOS-update, schakel automatische updates in en activeer Lockdown Mode als je denkt dat je een doelwit zou kunnen zijn. Voor meer context over hoe browsergebaseerde aanvallen werken, lees onze stukken over malware-assemblage in de browser en de Chrome zero-day-exploitatiecampagne.