Slovenčina
Kybernetická bezpečnost / Mobilní zařízení
Útoky na iPhone a Android přes web. Co prověřit ve firmě?
K napadení neaktualizovaného telefonu může stačit návštěva webu. Výzkumníci popsali kampaň se stopou v Česku, která cílila na iPhony i zařízení s Androidem. Firmy by měly vědět, které telefony mají přístup k pracovním účtům a jak ho v případě incidentu rychle ukončit.
Co se stalo a co víme o Česku
Tým Sekoia kampaň odhalil v polovině října 2026 a technická zjištění zveřejnil 4. listopadu 2026. Výzkumníci zpětně zjistili, že jedna z cest útoku, využívající upravený analytický skript služby Plerdy, fungovala už od 27. srpna do 3. září 2026. Přesný začátek celé kampaně zůstává nejasný. [1]
Výzkum řadí Česko mezi země, jejichž weby útočníci napadli nebo napodobili. Počet napadených českých telefonů z těchto zjištění nelze určit. Studie také nepotvrzuje zasažení konkrétní slovenské firmy. Sekoia připisuje kampaň skupině APT29 se střední až vysokou mírou jistoty. [1]
Jak může útok začít na důvěryhodném webu
Při útoku typu watering hole útočník využívá web, který jeho pravděpodobný cíl navštěvuje. Sekoia popsala tři způsoby doručení škodlivého obsahu. Útočníci zasáhli do původní stránky, napodobili ji na jiné doméně nebo zneužili skript třetí strany. Poté podle zařízení a prohlížeče využili vhodnou kombinaci zranitelností. U některých telefonů šlo o získání přihlašovacích cookies, u jiných byl rozsah sbíraných údajů širší. [1] [2]
Útok mohl proběhnout bez zadání hesla do formuláře. Vedle školení o podezřelých odkazech je proto důležitá i správa aktualizací. Podle Sekoia existovaly opravy všech chyb použitých ve třech analyzovaných řetězcích ještě před jejich zneužitím v kampani. [1]
Proč záleží na starší chybě ve WebKitu
CVE-2024-27834 je chyba ve WebKitu, která za určitých podmínek umožňuje obejít ochranu ukazatelů v paměti. V analyzovaném útoku pomáhala v kombinaci s další chybou. Apple ji opravil už v květnu 2024, například v iOS a iPadOS 16.7.8 a 17.5. Jde o historické opravy konkrétní chyby. Pro každý model použijte nejnovější dostupnou bezpečnostní verzi. [3] [4]
Podle zprávy Help Net Security, aktualizované 5. listopadu, zařadila CISA tuto chybu 4. listopadu 2026 do katalogu prokazatelně zneužívaných zranitelností. Datum potvrzují také katalogová data v databázi Vulnerability-Lookup. Ze záznamu CISA nelze odvodit, ke které kampani zneužití patřilo. [2] [5]
Co zkontrolovat na firemních telefonech
- Sepište zařízení podle přístupu k datům. Zahrňte služební telefony, soukromá zařízení využívaná k práci i mobilní přístup dodavatelů. U každého zkontrolujte přístup k e-mailu, CRM, cloudovému úložišti a správcovským účtům.
- Ověřte skutečně nainstalované verze. U iPhonu zkontrolujte verzi iOS, u Androidu úroveň bezpečnostní záplaty a verzi používaného prohlížeče. Instalaci ověřte i po případném restartu.
- Vynucujte pravidla tam, kde to nástroje umožňují. Správa zařízení a podmíněný přístup mohou omezit přihlašování z telefonů, které nesplňují stanovené podmínky. Starším telefonům bez potřebných oprav odeberte přístup k citlivým službám a připravte jejich výměnu.
- Výsledky pravidelně kontrolujte. Určete konkrétního odpovědného člověka. Měl by vědět také o telefonech, které se dlouho neohlásily systému správy zařízení, a o výjimkách po datu platnosti.
Když máte podezření na krádež relace
Přihlašovací cookie může sloužit jako doklad už otevřené relace. Pokud ji služba přijme z jiného zařízení, útočník se může dostat k účtu bez zadání hesla. Změna hesla u některých služeb ponechá existující relace aktivní. Vícefaktorové ověřování má smysl a ochrana už přihlášených relací vyžaduje vlastní opatření.
Z důvěryhodného zařízení omezte podezřelému telefonu přístup. Podle možností dané služby zrušte aktivní relace a zneplatněte tokeny dotčených účtů. V přihlašovacích a auditních záznamech hledejte nová zařízení, podezřelé přeposílání pošty, změny zabezpečení nebo neobvyklé stahování. Před resetem telefonu uchovejte časové údaje a dostupné záznamy. Při vážném podezření svěřte další postup správci nebo týmu pro reakci na incidenty. K práci se vraťte z prověřeného zařízení. Při vyhodnocování dopadu počítejte i s údaji, které mohly uniknout před aktualizací.
Co prověřit na vlastním webu
Pokud spravujete firemní web, sepište skripty přidávané analytikou, reklamními nástroji nebo správcem značek. Ke každému přiřaďte vlastníka a důvod použití. Při upozornění na napadeného dodavatele potřebujete zjistit, které stránky jeho kód načítaly a kdy. Při podezření na škodlivou změnu uchovejte záznamy o nasazení a po ověření odpojte dotčenou integraci.
Vyzkoušejte, zda základní funkce webu běží i bez analytického skriptu. Pokud po jeho odpojení přestane fungovat přihlášení nebo formulář, řešení incidentu může způsobit odstávku. Změny pravidel pro načítání skriptů proto nejprve vyzkoušejte v testovacím prostředí.
Tři priority pro firmu
- Zjistěte, které telefony mají přístup k citlivým službám.
- Aktualizujte podporovaná zařízení a omezte přístup z nepodporovaných.
- Ověřte, že při incidentu umíte ukončit relace a prověřit přístup k datům.
Potřebujete ověřit, která zařízení mají přístup k vašim firemním účtům? Domluvte si s Faust Agency kontrolu přístupů a zabezpečení firemního IT.
Zdroje a další čtení
Odkazy vedou na původní oznámení, zprávy a dokumentaci, ze kterých článek vychází.
