Novas pesquisas compartilhadas com o Axios sugerem que hackers estão encontrando novas maneiras de infectar iPhones com spyware, mesmo quando as vítimas nunca clicam em um link malicioso. A descoberta aponta para uma tendência preocupante no spyware de iPhone de clique zero via navegação, em que simplesmente carregar uma página web pode ser suficiente para colocar um dispositivo em risco.

Os detalhes disponíveis no relatório são limitados, portanto este post se atém ao que foi publicado e explica o que isso significa em termos práticos.

Como a navegação sozinha pode infectar um iPhone

A alegação central da pesquisa é que hackers podem entregar spyware a iPhones sem que a vítima clique em um link malicioso. Em um ataque de phishing típico, o usuário precisa tomar uma ação: tocar em um link, abrir um arquivo ou aprovar um prompt. Aqui, essa etapa é, segundo relatos, removida do processo.

Isso importa porque a maioria dos conselhos de segurança se concentra no comportamento do usuário: não clique em links suspeitos, não abra anexos desconhecidos. Esses hábitos continuam úteis, mas oferecem menos proteção quando um ataque é projetado para funcionar em segundo plano enquanto alguém navega normalmente.

O navegador é um lugar natural para esse tipo de ataque. Ele processa constantemente conteúdo não confiável de toda a internet, incluindo páginas, scripts, imagens e anúncios. Se um atacante encontrar uma falha na forma como esse conteúdo é tratado, uma página armadilhada pode executar código no dispositivo. Cobrimos como os atacantes estão mudando a entrega baseada em navegador em nosso relatório sobre hackers que agora montam malware no navegador, e o mesmo princípio se aplica aqui: o próprio navegador se torna a rota de entrega.

O resumo que analisamos não nomeia vulnerabilidades específicas, grupos de ameaças ou vítimas, portanto não vamos especular sobre eles.

Quem está mais em risco com este spyware

Spyware desse tipo tem sido historicamente associado à vigilância direcionada em vez de infecção em massa, mas o resumo da pesquisa não diz quem está sendo alvo neste caso. Não podemos fazer afirmações sobre vítimas específicas.

O que pode ser dito é que qualquer pessoa que navega na web em um iPhone está exposta à categoria geral de risco, porque o caminho do ataque passa pela navegação comum. Pessoas com maior projeção, como jornalistas, ativistas, executivos e funcionários do governo, geralmente têm mais motivos para tomar precauções extras, porque são mais propensas a despertar o interesse de atacantes com muitos recursos.

Para a maioria das pessoas, o risco prático é provavelmente menor do que para esses grupos, mas a lição é a mesma: a suposição mais segura é que um dispositivo sem atualizações é um dispositivo mais vulnerável.

O que uma VPN impede e o que não impede

É aqui que as expectativas precisam ser realistas. Uma VPN criptografa o tráfego entre seu dispositivo e o servidor VPN e oculta seu endereço IP dos sites que você visita. Isso é valioso para a privacidade em Wi-Fi público e para limitar o que seu provedor de internet pode ver.

Mas uma VPN não corrige uma vulnerabilidade no seu navegador ou sistema operacional. Se uma página maliciosa explorar uma falha na forma como seu iPhone processa conteúdo web, o exploit chega pela conexão que você escolheu fazer, esteja ou não essa conexão criptografada. O túnel VPN transporta a página para o seu dispositivo assim como transportaria qualquer outra página.

Uma VPN pode oferecer alguma ajuda indireta se incluir bloqueio opcional de domínios maliciosos conhecidos, embora isso dependa do serviço e não substitua a aplicação de patches. O DNS criptografado, explicado em nossa entrada de glossário sobre DNS over HTTPS, mantém as consultas privadas de terceiros, mas igualmente não impede um exploit de navegador.

Em resumo: uma VPN é uma ferramenta de privacidade, não uma defesa contra exploits de clique zero. As atualizações de software são a principal defesa. Para um exemplo comparável de como os atacantes encadeiam falhas de navegador, veja nossa cobertura sobre hackers chineses explorando zero-days do Chrome e do Windows.

Passos para proteger seu iPhone agora

Você não pode controlar se uma falha existe, mas pode reduzir a janela em que ela é útil para um atacante.

  • Instale a atualização mais recente do iOS. Os patches de segurança são a proteção mais direta contra exploits baseados em navegador.
  • Ative as atualizações automáticas. Vá em Ajustes, depois Geral, depois Atualização de Software, e ative as atualizações automáticas para não ficar para trás.
  • Considere o Modo de Isolamento se você for de alto risco. O Modo de Isolamento da Apple é uma configuração opcional que reduz a superfície de ataque do dispositivo. Ele limita alguns recursos, portanto é adequado para pessoas com um perfil de ameaça elevado, e não para todos.
  • Reinicie seu iPhone ocasionalmente. Este é um hábito geral de higiene e não uma garantia de remoção.
  • Mantenha os aplicativos atualizados e remova os que você não usa.

O que isso significa para você

A principal conclusão é que "não clique em links suspeitos" não é mais suficiente por si só. Se a pesquisa estiver correta, a navegação comum pode fazer parte da cadeia de ataque. Isso não significa que você deve parar de usar seu telefone ou entrar em pânico. Significa que seus hábitos de atualização importam mais do que nunca, e que você deve tratar uma VPN como uma camada de privacidade, e não como um escudo contra spyware.

Conclusão

O spyware de iPhone de clique zero via navegação é um lembrete de que o navegador é uma das partes mais expostas de qualquer dispositivo. Instale a atualização mais recente do iOS hoje, ative as atualizações automáticas e habilite o Modo de Isolamento se você acredita que pode ser um alvo. Para mais contexto sobre como funcionam os ataques baseados em navegador, leia nossos artigos sobre montagem de malware no navegador e a campanha de exploração de zero-day do Chrome.