Čeština
Kybernetická bezpečnosť / Mobilné zariadenia
Útoky na iPhone a Android cez web: čo preveriť vo firme
Na napadnutie neaktualizovaného telefónu môže stačiť návšteva stránky. Výskumníci opísali kampaň so stopou v Česku, ktorá cielila na iPhony aj Androidy. Pre firmy je dôležité vedieť, ktoré zariadenia majú prístup k pracovným účtom a ako tento prístup rýchlo ukončiť.
Čo sa stalo a čo vieme o Česku
Tím Sekoia kampaň odhalil v polovici októbra 2026 a technické zistenia zverejnil 4. novembra 2026. Polovica októbra teda nie je dátum publikovania ani potvrdený začiatok celej kampane. Výskumníci spätne zistili, že jedna z ciest útoku, cez upravený analytický skript služby Plerdy, fungovala už od 27. augusta do 3. septembra 2026. [1]
Výskum uvádza medzi krajinami, ktorých weby boli v rámci kampane napadnuté alebo napodobnené, aj Česko. Z toho sa nedá určiť počet kompromitovaných českých telefónov ani potvrdiť zasiahnutie konkrétnej slovenskej firmy. Sekoia pripisuje kampaň skupine APT29 so strednou až vysokou mierou istoty. Ide o hodnotenie výskumníkov. [1]
Ako môže útok začať na dôveryhodnom webe
Pri útoku typu watering hole útočník využíva stránku, ktorú pravdepodobný cieľ navštevuje. Sekoia našla tri spôsoby doručenia: zásah do skutočnej stránky, jej napodobnenie na inej doméne a zneužitie skriptu tretej strany. Následne sa podľa zariadenia a prehliadača doručila vhodná kombinácia chýb. Na niektorých telefónoch bol cieľom zber prihlasovacích cookies, na iných bol rozsah získavaných údajov širší. [1] [2]
Na rozdiel od bežnej podvodnej prihlasovacej stránky tento útok nepotrebuje, aby človek zadal heslo do formulára. Aj preto samotné školenie, ako rozpoznať podozrivý odkaz, nestačí. Sekoia uvádza, že pre všetky chyby v troch analyzovaných reťazcoch existovali opravy pred použitím v kampani. Rozhoduje teda aj to, či sa opravy skutočne dostanú na firemné telefóny. [1]
Prečo záleží na starej chybe vo WebKite
CVE-2024-27834 je chyba v technológii WebKit, ktorá za určitých podmienok umožňuje obísť ochranu pamäťových ukazovateľov. V analyzovanom útoku pomáhala až v kombinácii s ďalšou chybou. Apple ju opravil už v máji 2024, napríklad v iOS a iPadOS 16.7.8 a 17.5. Tieto čísla označujú historické opravy jednej chyby; dnes používajte najnovšiu bezpečnostnú verziu dostupnú pre konkrétny model. [3] [4]
Podľa správy Help Net Security, aktualizovanej 5. novembra, pridala CISA túto chybu 4. novembra 2026 do katalógu preukázateľne zneužívaných zraniteľností. Dátum zaradenia potvrdzujú aj údaje katalógu sprístupnené v databáze Vulnerability-Lookup. Záznam CISA sám nepripisuje zneužívanie konkrétnej kampani. [2] [5]
Čo skontrolovať na firemných telefónoch
- Urobte inventúru podľa prístupu k dátam. Zahrňte služobné telefóny, súkromné zariadenia používané na prácu aj mobilný prístup dodávateľov. Pri každom zistite, či sa cezň používajú e-mail, CRM, cloudové úložisko alebo správcovské účty.
- Overte skutočne nainštalované verzie. Pri iPhone overte iOS, pri Androide úroveň bezpečnostnej záplaty aj verziu používaného prehliadača. Aktualizáciu potvrďte po inštalácii. Hlásenie „čaká na reštart“ ešte neznamená, že je zariadenie opravené.
- Vynúťte pravidlá tam, kde to vaše nástroje umožňujú. Správa zariadení a podmienený prístup môžu obmedziť prihlasovanie zo zariadení, ktoré nespĺňajú stanovenú úroveň zabezpečenia. Starým telefónom bez potrebných opráv odoberte prístup k citlivým službám a pripravte výmenu.
- Pravidelne kontrolujte výsledok. Prideľte zodpovednosť konkrétnej osobe. Nech má prehľad aj o telefónoch, ktoré sa dlhšie nehlásia do správy zariadení, a o výnimkách, ktoré už mali skončiť.
Keď máte podozrenie na krádež relácie
Prihlasovacia cookie môže predstavovať už otvorenú reláciu. Ak ju služba prijme z iného zariadenia, útočník môže získať prístup bez toho, aby zadával heslo. Zmena hesla nemusí v každej službe automaticky ukončiť všetky existujúce relácie. Viacfaktorové overovanie má stále zmysel; samostatne však nerieši každé zneužitie už prihlásenej relácie.
Z dôveryhodného zariadenia obmedzte podozrivému telefónu prístup a podľa možností služby odvolajte relácie a tokeny dotknutých účtov. Skontrolujte prihlasovacie a auditné záznamy: nové zariadenia, podozrivé pravidlá preposielania pošty, zmeny bezpečnostných nastavení alebo nezvyčajné sťahovanie. Uchovajte časové údaje a dostupné záznamy pred resetom telefónu. Pri závažnom podozrení nech ďalší postup určí správca alebo tím pre reakciu na incidenty. Prácu obnovte z overeného zariadenia; samotná aktualizácia spätne neodvolá údaje, ktoré už mohli uniknúť.
Čo preveriť aj na vlastnom webe
Ak spravujete firemný web, spíšte skripty, ktoré doň vkladáte cez analytiku, reklamné nástroje alebo správcu značiek. Ku každému priraďte vlastníka a dôvod použitia. Keď príde upozornenie na konkrétneho dodávateľa, potrebujete vedieť, ktoré stránky jeho kód načítavali a v akom období. Pri podozrení na škodlivú zmenu uchovajte dostupné záznamy o nasadení a po overení odpojte dotknutú integráciu.
Užitočné je otestovať, či základné funkcie webu fungujú aj bez analytického skriptu. Ak bez neho zlyhá formulár alebo prihlásenie, riešenie incidentu sa zbytočne spája s odstávkou. Zmeny v pravidlách načítavania skriptov skúšajte najprv v testovacom prostredí, aby ste pri ochrane webu neprerušili jeho bežnú prevádzku.
Tri priority pre firmu
- Zistite, ktoré mobily majú prístup k citlivým službám.
- Aktualizujte podporované zariadenia a obmedzte prístup z nepodporovaných.
- Overte, že pri incidente viete odvolať relácie aj skontrolovať prístup k dátam.
Potrebujete preveriť, z ktorých zariadení sa dá dostať k vašim firemným účtom? Dohodnite si s Faust Agency kontrolu prístupov a zabezpečenia firemného IT.
Zdroje a ďalšie čítanie
Odkazy vedú na pôvodné oznámenia, správy a dokumentáciu, z ktorých článok vychádza.
