与Axios分享的新研究表明，黑客正在寻找新方法来感染iPhone并植入间谍软件，即使受害者从未点击恶意链接。这一发现指向了零点击iPhone间谍软件浏览中令人担忧的趋势——仅仅加载一个网页就可能足以让设备面临风险。

报告中可获得的细节有限，因此本文仅围绕已发布的内容展开，并解释其实际意义。

仅靠浏览如何感染iPhone

该研究的核心主张是，黑客无需受害者点击恶意链接即可向iPhone投递间谍软件。在典型的网络钓鱼攻击中，用户必须采取某种操作：点击链接、打开文件或批准提示。而在此次攻击中，据称这一步骤已从攻击流程中移除。

这一点之所以重要，是因为大多数安全建议都聚焦于用户行为：不要点击可疑链接，不要打开未知附件。这些习惯仍然有用，但当攻击被设计为在用户正常浏览时于后台运行时，它们提供的保护就大打折扣了。

浏览器是此类攻击的天然载体。它不断处理来自互联网各处的不可信内容，包括页面、脚本、图像和广告。如果攻击者找到了处理这些内容的方式中的漏洞，一个设置了陷阱的页面就能在设备上运行代码。我们曾在关于如今在浏览器中组装恶意软件的黑客的报道中讨论过攻击者如何改变基于浏览器的投递方式，同样的原理在此适用：浏览器本身成为了投递途径。

我们审阅的摘要未指明具体漏洞、威胁组织或受害者，因此我们不会对此进行推测。

谁面临的间谍软件风险最大

此类间谍软件历来与定向监视而非大规模感染相关联，但研究摘要并未说明本案中的目标是谁。我们无法对具体受害者做出断言。

可以确定的是，任何在iPhone上浏览网页的人都面临这一大类风险，因为攻击路径通过普通浏览行为实现。知名度较高的人群，如记者、活动人士、高管和政府工作人员，通常更有理由采取额外预防措施，因为他们更可能成为资源充裕的攻击者的目标。

对大多数人而言，实际风险可能低于上述群体，但教训是一样的：最安全的假设是，未修补的设备就是更脆弱的设备。

VPN能做什么、不能做什么

这正是需要保持现实预期的地方。VPN加密设备与VPN服务器之间的流量，并对所访问的网站隐藏你的IP地址。这对于公共Wi-Fi上的隐私保护以及限制互联网服务提供商所能看到的内容很有价值。

但VPN并不能修复浏览器或操作系统中的漏洞。如果恶意页面利用了iPhone处理网页内容方式中的缺陷，该漏洞利用会通过你选择建立的连接到达——无论该连接是否加密。VPN隧道将页面传送到你的设备，就像传送任何其他页面一样。

如果VPN包含对已知恶意域名的可选拦截功能，可能会提供一些间接帮助，但这取决于具体服务，且不能替代打补丁。加密DNS——在我们的DNS over HTTPS术语条目中有解释——可以使查询对第三方保持私密，但同样无法阻止浏览器漏洞利用。

简而言之：VPN是隐私工具，而非零点击漏洞利用的防御手段。软件更新才是主要防御措施。关于攻击者如何串联浏览器漏洞的可比案例，请参阅我们对中国黑客利用Chrome和Windows零日漏洞的报道。

立即保护iPhone的步骤

你无法控制漏洞是否存在，但你可以缩短其对攻击者有用的时间窗口。

  • 安装最新的iOS更新。 安全补丁是防御基于浏览器的漏洞利用最直接的手段。
  • 开启自动更新。 前往“设置”，然后“通用”，然后“软件更新”，启用自动更新，以免落后。
  • 如果你属于高风险人群，考虑锁定模式。 Apple的锁定模式是一项可选设置，可减少设备的攻击面。它会限制部分功能，因此适合威胁级别较高的人群而非所有人。
  • 偶尔重启iPhone。 这是一般性的卫生习惯，并非清除的保证。
  • 保持应用更新，删除不使用的应用。

这对你意味着什么

关键要点是，“不要点击可疑链接”本身已不再足够。如果研究结论正确，普通浏览行为可能成为攻击链的一部分。这并不意味着你应该停止使用手机或恐慌。它意味着你的更新习惯比以往任何时候都更重要，并且你应该将VPN视为一层隐私保护，而非抵御间谍软件的盾牌。

结论

零点击iPhone间谍软件浏览提醒我们，浏览器是任何设备中暴露面最大的部分之一。今天就安装最新的iOS更新，开启自动更新，如果你认为自己可能是目标，请启用锁定模式。如需了解更多关于基于浏览器的攻击如何运作的背景信息，请阅读我们关于浏览器内恶意软件组装和Chrome零日漏洞利用活动的文章。