Ny forskning som delats med Axios tyder på att hackare hittar nya sätt att infektera iPhones med spionprogram, även när offren aldrig klickar på en skadlig länk. Rönen pekar på en oroande trend inom spionprogram för iPhone utan klick, där det kan räcka med att helt enkelt ladda en webbsida för att utsätta en enhet för risk.

De detaljer som finns tillgängliga från rapporten är begränsade, så det här inlägget håller sig till det som har publicerats och förklarar vad det innebär i praktiken.

Hur enbart webbläsning kan infektera en iPhone

Det centrala påståendet i forskningen är att hackare kan leverera spionprogram till iPhones utan att offret klickar på en skadlig länk. I en typisk nätfiskeattack måste användaren vidta en åtgärd: trycka på en länk, öppna en fil eller godkänna en uppmaning. Här har det steget enligt uppgift tagits bort från processen.

Det spelar roll eftersom de flesta säkerhetsråd fokuserar på användarbeteende: klicka inte på misstänkta länkar, öppna inte okända bilagor. De vanorna är fortfarande användbara, men de ger mindre skydd när en attack är utformad för att fungera i bakgrunden medan någon surfar normalt.

Webbläsaren är en naturlig plats för den här typen av attack. Den bearbetar ständigt opålitligt innehåll från hela internet, inklusive sidor, skript, bilder och annonser. Om en angripare hittar en brist i hur det innehållet hanteras kan en försåtlig sida köra kod på enheten. Vi har rapporterat om hur angripare förändrar webbläsarbaserad leverans i vår rapport om hackare som nu monterar skadlig kod i webbläsaren, och samma princip gäller här: webbläsaren själv blir leveransvägen.

Sammanfattningen vi granskade namnger inte specifika sårbarheter, hotgrupper eller offer, så vi kommer inte att spekulera om dem.

Vem löper störst risk med detta spionprogram

Spionprogram av detta slag har historiskt förknippats med riktad övervakning snarare än massinfektion, men forskningssammanfattningen säger inte vilka som är måltavla i detta fall. Vi kan inte göra påståenden om specifika offer.

Det som kan sägas är att alla som surfar på webben på en iPhone exponeras för den allmänna riskkategorin, eftersom attackvägen går genom vanlig webbläsning. Personer med högre profil, som journalister, aktivister, chefer och statstjänstemän, har generellt mer anledning att vidta extra försiktighetsåtgärder, eftersom de är mer sannolika att vara av intresse för resursstarka angripare.

För de flesta är den praktiska risken sannolikt lägre än för dessa grupper, men lärdomen är densamma: det säkraste antagandet är att en enhet utan uppdateringar är en svagare enhet.

Vad en VPN gör och inte stoppar

Det är här förväntningarna måste vara realistiska. En VPN krypterar trafiken mellan din enhet och VPN-servern och döljer din IP-adress för de webbplatser du besöker. Det är värdefullt för integritet på offentliga Wi-Fi-nätverk och för att begränsa vad din internetleverantör kan se.

Men en VPN åtgärdar inte en sårbarhet i din webbläsare eller ditt operativsystem. Om en skadlig sida utnyttjar en brist i hur din iPhone bearbetar webbinnehåll, kommer exploateringen fram genom den anslutning du valde att göra, oavsett om den anslutningen är krypterad eller inte. VPN-tunneln transporterar sidan till din enhet precis som den skulle transportera vilken annan sida som helst.

En VPN kan erbjuda viss indirekt hjälp om den inkluderar valfri blockering av kända skadliga domäner, men det beror på tjänsten och är inte en ersättning för uppdateringar. Krypterad DNS, förklarat i vår ordlisteartikel om DNS over HTTPS, håller uppslagningar privata från tredje parter, men det stoppar inte heller en webbläsarexploatering.

Kort sagt: en VPN är ett integritetsverktyg, inte ett försvar mot exploateringar utan klick. Programuppdateringar är det främsta försvaret. För ett jämförbart exempel på hur angripare kedjar samman webbläsarbrister, se vår rapportering om kinesiska hackare som utnyttjar nolldagar i Chrome och Windows.

Åtgärder för att skydda din iPhone nu

Du kan inte kontrollera om en brist finns, men du kan minska fönstret där den är användbar för en angripare.

  • Installera den senaste iOS-uppdateringen. Säkerhetsuppdateringar är det mest direkta skyddet mot webbläsarbaserade exploateringar.
  • Slå på automatiska uppdateringar. Gå till Inställningar, sedan Allmänt, sedan Programvaruuppdatering, och aktivera automatiska uppdateringar så att du inte hamnar efter.
  • Överväg Lockdown-läge om du löper hög risk. Apples Lockdown-läge är en valfri inställning som minskar enhetens attackyta. Det begränsar vissa funktioner, så det passar personer med förhöjd hotprofil snarare än alla.
  • Starta om din iPhone ibland. Det är en allmän god vana och ingen garanti för borttagning.
  • Håll appar uppdaterade och ta bort dem du inte använder.

Vad detta innebär för dig

Det viktigaste att ta med sig är att "klicka inte på misstänkta länkar" inte längre räcker i sig självt. Om forskningen har rätt kan vanlig webbläsning vara en del av attackkedjan. Det betyder inte att du ska sluta använda din telefon eller få panik. Det betyder att dina uppdateringsvanor spelar större roll än någonsin, och att du bör behandla en VPN som ett lager av integritet snarare än som en sköld mot spionprogram.

Slutsats

Spionprogram för iPhone utan klick via webbläsning är en påminnelse om att webbläsaren är en av de mest exponerade delarna av vilken enhet som helst. Installera den senaste iOS-uppdateringen idag, slå på automatiska uppdateringar och aktivera Lockdown-läge om du tror att du kan vara en måltavla. För mer bakgrund om hur webbläsarbaserade attacker fungerar, läs våra artiklar om montering av skadlig kod i webbläsaren och kampanjen som utnyttjar nolldagar i Chrome.