iPhone e Android infettati aprendo un sito: attacco hacker russo
Bastava aprire una pagina web compromessa per esporre un iPhone o uno smartphone Android non aggiornato a un attacco informatico. Una campagna scoperta dalla società di sicurezza francese Sekoia ha sfruttato vulnerabilità già corrette da Apple e Google per tentare di sottrarre cookie, credenziali Wi-Fi e, in alcuni casi, grandi quantità di dati personali. Gli esperti collegano l’operazione, con un grado di fiducia da moderato ad alto, al gruppo APT29, noto anche come Midnight Blizzard o Cozy Bear e comunemente associato all’intelligence estera russa.
La campagna, individuata a metà ottobre 2026 e denominata Poisoned Source, non richiedeva di installare un’app o premere un pulsante sospetto. Su un dispositivo vulnerabile, la sola visita a determinati siti poteva avviare automaticamente una catena di exploit. Le falle utilizzate erano già state risolte: la minaccia descritta dai ricercatori riguardava specifiche versioni obsolete di iOS e Chrome per Android, non tutti gli smartphone.
Come funzionava l’attacco senza clic
Gli aggressori utilizzavano tre strade per raggiungere le vittime: compromettevano siti legittimi inserendo JavaScript malevolo, costruivano domini che imitavano pagine affidabili oppure alteravano uno script di analisi del traffico web distribuito su molti siti. In quest’ultimo caso era coinvolto Plerdy SEO Tracker, servizio ucraino il cui script è stato manomesso tra il 27 agosto e il 3 settembre 2026.
Quando una persona visitava una pagina coinvolta, il codice raccoglieva informazioni sul browser e sul dispositivo. L’infrastruttura degli attaccanti decideva quindi quale sequenza di vulnerabilità usare, scegliendo un percorso differente per iPhone e Android. È una tecnica detta watering hole: invece di attaccare direttamente una persona, si prepara una trappola su un sito che quella persona potrebbe visitare.
Tra gli obiettivi individuati figuravano siti legati all’industria, al settore militare e al contesto della guerra in Ucraina, oltre a domini contraffatti che imitavano iniziative statunitensi e un hotel di Londra. Non è stato stabilito quanti dispositivi siano stati effettivamente compromessi.
Leggi anche:
Su iPhone potevano essere rubati messaggi WhatsApp, foto e password
Gli esperti hanno individuato due catene d’attacco contro iPhone. Una prendeva di mira iOS 16.7 e puntava soprattutto ai cookie di Safari, dati che in alcune circostanze possono consentire di riutilizzare sessioni già autenticate. L’altra colpiva iOS 18.5 utilizzando DarkSword, un kit di exploit capace di accedere a informazioni molto più sensibili.
Tra i dati che DarkSword poteva estrarre figuravano SMS, iMessage, database di WhatsApp e Telegram, password del Portachiavi iCloud, contatti, cronologia delle chiamate, fotografie, note e altri contenuti conservati sul dispositivo. Non significa che ogni iPhone esposto abbia subito il furto di tutti questi dati, ma mostra la portata potenziale dell’attacco.
Android: nel mirino Chrome e le password Wi-Fi
Per Android la catena individuata prendeva di mira Chrome dalla versione 139 alla 145, con esclusione della 143. Il codice malevolo sfruttava vulnerabilità del browser e del sistema per distribuire un componente chiamato AndroSnitch, progettato per sottrarre cookie, dati di accesso, cronologia di navigazione e password delle reti Wi-Fi salvate.
Gli analisti hanno osservato anche un controllo specifico sul modello Samsung Galaxy S25 Ultra: se il dispositivo corrispondeva a quel modello, la procedura si interrompeva. Il motivo di questa scelta non è stato chiarito. Anche in questo caso, la catena funzionava soltanto contro determinate configurazioni vulnerabili.
Come proteggere subito iPhone e Android
La protezione più importante è installare gli aggiornamenti di sicurezza disponibili. Su iPhone puoi controllare in Impostazioni → Generali → Aggiornamento software. Su Android verifica gli aggiornamenti del sistema nelle Impostazioni e aggiorna anche Chrome attraverso il Play Store. I percorsi possono cambiare leggermente in base al produttore.
Le vulnerabilità sfruttate in questa campagna erano già state corrette prima dell’inizio degli attacchi. Secondo i ricercatori, un dispositivo aggiornato con le patch pertinenti non risultava vulnerabile alle catene individuate. Questo non garantisce una protezione assoluta da qualsiasi altra minaccia, ma elimina le falle specifiche utilizzate nell’operazione.
Il malware analizzato non manteneva una presenza permanente dopo il riavvio: spegnere e riaccendere il telefono poteva interromperne l’attività, ma non recuperare dati già sottratti. Se sospetti una compromissione, oltre ad aggiornare il dispositivo, è opportuno verificare gli accessi ai tuoi account, revocare sessioni sconosciute e cambiare le password da un dispositivo affidabile.
Ti potrebbe interessare:
Segui guruhitech su:
- Google News: bit.ly/gurugooglenews
- Telegram: t.me/guruhitech
- Facebook: facebook.com/guruhitechfb
- Instagram: instagram.com/guruhitech_official/
- X (Twitter): x.com/guruhitech1
- Bluesky: bsky.app/profile/guruhitech.bsky.social
- Rumble: rumble.com/user/guruhitech
- VKontakte: vk.com/guruhitech
- MeWe: mewe.com/i/guruhitech
- Skype: live:.cid.d4cf3836b772da8a
- WhatsApp: bit.ly/whatsappguruhitech
Esprimi il tuo parere!
Che ne pensi di questa notizia? Lascia un commento nell’apposita sezione che trovi più in basso e se ti va, iscriviti alla newsletter.
Per qualsiasi domanda, informazione o assistenza nel mondo della tecnologia, puoi inviare una email all’indirizzo [email protected].
Scopri di più da GuruHiTech
Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.