Ing. Calogero Bono
Apple wysłała nową falę powiadomień o zagrożeniu użytkownikom w 99 krajach, ostrzegając ich przed możliwym atakiem z użyciem najemniczego spyware. W Niemczech powiadomienia dotarły do członków Bundestagu i innych osób publicznych, a federalny urząd ds. cyberbezpieczeństwa BSI zalecił uznanie urządzeń za niebezpieczne. Pierwsze powiadomienia pochodzą z 29 października. Sprawa jest istotna, bo pokazuje, jak aktywne są te narzędzia i jak trudno ustalić, kto za nimi stoi.
Kilka pojęć, zanim przejdziemy do faktów. Najemniczy spyware to bardzo drogie oprogramowanie do inwigilacji, tworzone przez prywatne firmy i używane przeciwko nielicznym osobom. Pegasus to najbardziej znany z nich, produkowany przez NSO Group. Zero-click oznacza atak, który nie wymaga żadnej reakcji ofiary, ani kliknięcia, ani otwarcia pliku. BSI to federalny urząd ds. cyberbezpieczeństwa w Niemczech. Tryb izolacji (Lockdown Mode) to funkcja Apple, która ogranicza powierzchnię ataku urządzenia.
Co się stało z powiadomieniami Apple?
Według 9to5Mac, powołującego się na Financial Times i TechCrunch, politycy i urzędnicy w Niemczech zaczęli otrzymywać ostrzeżenia w zeszły czwartek. W weekend BSI wydał pilny komunikat.
Jak podaje HDblog, niemieckie władze wszczęły śledztwo. Wiadomość otrzymana przez część użytkowników wskazywała, że seria ostrzeżeń została wysłana do 99 krajów.
Co mówią niemiecki rząd i BSI?
BSI wyjaśnił, że dowiedział się o ostrzeżeniach otrzymanych przez członków Bundestagu i inne ważne osoby, których jednak nie wymienił. Według TechCrunch, osoba, która dostanie powiadomienie, «powinna zatem zakładać, że jej urządzenie mogło zostać skompromitowane».
Rzecznik rządu Stefan Kornelius, jak podaje Financial Times, powiedział, że rząd traktuje «incydent i ostrzeżenie bardzo poważnie». Nie podał, kogo dotknięto, ani czy wśród nich jest kanclerz Friedrich Merz.
Czym jest atak zero-click i dlaczego budzi obawy?
Również według Financial Times ataki miały wykorzystywać lukę zero-click. Wystarczyłaby znajomość numeru telefonu ofiary. To informacja z prasy, nie potwierdzona przez Apple.
TechCrunch przypomina, że tego typu spyware może kraść wiadomości, dane o lokalizacji i inne wrażliwe informacje. Skoro nie trzeba niczego klikać, sama ostrożność użytkownika nie wystarcza.
Kto jeszcze dostał ostrzeżenie?
Wśród odbiorców poza Niemcami jest Radwan Mortada, filmowiec z Bejrutu. Udostępnił ostrzeżenie na X, gdzie Apple informowało o «kolejnym ataku na twoje urządzenie». Już wcześniej był celem Pegasusa, w 2017 i 2021 roku.
Mortada twierdzi, że nie wie, kto stoi za najnowszą próbą, ani czy ma to związek z dokumentem śledczym, który wyreżyserował.
Jak działają powiadomienia Apple o zagrożeniu?
Na oficjalnej stronie Apple wyjaśniono, że ostrzeżenia są sygnałami o wysokiej wiarygodności, choć żadne śledztwo nie daje absolutnej pewności. Apple opiera się wyłącznie na informacjach wewnętrznych i nie wyjaśnia, co je uruchamia, by nie pomagać atakującym.
Od 2021 roku ostrzeżenia pojawiają się kilka razy w roku i według Apple dotarły do użytkowników w ponad 150 krajach. Widać je na iPhonie, w e-mailu i w banerze na account.apple.com.
Co zrobić, gdy dostaniesz powiadomienie?
Apple zaleca włączenie Trybu izolacji i kontakt z ekspertami, na przykład z Digital Security Helpline organizacji Access Now, działającą całą dobę. Aby sprawdzić, czy ostrzeżenie jest autentyczne, wejdź na account.apple.com i sprawdź baner na górze strony.
Prawdziwe powiadomienie nigdy nie wymaga klikania linków, otwierania plików, instalowania aplikacji lub profilów ani podawania haseł czy kodów weryfikacyjnych.
Dobre praktyki dotyczą wszystkich. Aktualizuj urządzenia, używaj uwierzytelniania dwuskładnikowego i instaluj aplikacje tylko z App Store. W tym temacie znajdziesz też nowe zasady App Store.
Ograniczenia, o których warto wiedzieć
Nie wiadomo, kto stoi za atakami ani które rządy je zorganizowały. Apple nie przypisuje ataków i nie potwierdza, czy telefon jest rzeczywiście zainfekowany. HDblog zaznacza, że nie ma dowodów na związek między powiadomieniem a faktycznym przejęciem urządzenia. Szczegół dotyczący zero-click pochodzi z relacji prasowej, a nie od Apple. Nadal nie wiadomo, jaki jest wynik niemieckiego śledztwa, ile osób zostało dotkniętych i jaka luka została wykorzystana.
Co się zmienia dla osób pracujących w świecie cyfrowym
Dla firmy bezpośrednie zagrożenie pozostaje odległe, bo sama Apple mówi, że zdecydowana większość użytkowników nigdy nie będzie celem. Ryzyko rośnie, jeśli w firmie są osoby narażone, jak kierownicy, prawnicy, dziennikarze czy osoby obsługujące wrażliwe dane. Warto z wyprzedzeniem ustalić, do kogo się zgłosić i jak odizolować urządzenie, na przykład dzięki polityce dla firmowych telefonów. Kto zarządza wspólnymi kontami, może zacząć od narzędzi opisanych w przewodniku po Konsoli administratora Google Workspace.
Nasze zdanie
Sprawa pokazuje słabość systemu. Narzędzia najemnicze są sprzedawane przez prywatne firmy, a jak przypomina TechCrunch, niemiecka policja BKA miała kupić Pegasusa już w 2019 roku. Pozostaje niewygodne pytanie, kto kupuje takie narzędzia, ten używa ich przeciwko innym. Apple dobrze robi, ostrzegając, ale brak przejrzystości co do kryteriów wykrywania zostawia użytkowników z alarmem bez kontekstu. Zalecenie BSI, by uznać telefon za skompromitowany, jest ostrożne, ale dla kogoś, kto codziennie pracuje na tym urządzeniu, ma duże konsekwencje.
Najczęstsze pytania
Czym są powiadomienia Apple o zagrożeniu?
To ostrzeżenia wysyłane do osób, które według Apple padły celem najemniczego spyware. Pojawiają się na iPhonie, w e-mailu i na stronie account.apple.com. Apple nazywa je sygnałami o wysokiej wiarygodności.
Jeśli dostanę powiadomienie, czy mój iPhone jest zainfekowany?
Nie ma pewności. Apple nie potwierdza, czy urządzenie jest skompromitowane. Niemiecki BSI zaleca jednak zakładać, że może tak być, i natychmiast podjąć działania.
Jak sprawdzić, czy ostrzeżenie jest prawdziwe?
Wejdź na account.apple.com i sprawdź baner na górze strony. Prawdziwe powiadomienie nigdy nie wymaga klikania, otwierania plików, instalowania aplikacji ani podawania haseł.
Co daje Tryb izolacji?
Zapewnia dodatkową ochronę przed ukierunkowanymi atakami. Apple zaleca go osobom, które dostały powiadomienie, a także tym, które podejrzewają, że są na celowniku, choć powiadomienia nie otrzymały.
Kto został dotknięty tą falą?
Członkowie Bundestagu i inne niemieckie osoby publiczne, a w sumie użytkownicy w 99 krajach. Wśród nich jest libański filmowiec Radwan Mortada. Kto stoi za atakami, nie wiadomo.
Na co zwrócić uwagę w najbliższych tygodniach w sprawie spyware
Niemieckie śledztwo i ruchy Apple pokażą, czy wyjdą na jaw szczegóły techniczne. Na razie faktów jest niewiele.
- Śledź komunikaty BSI i niemieckiego śledztwa, by zobaczyć, czy ujawnią się odpowiedzialni.
- Sprawdzaj notatki bezpieczeństwa do aktualizacji iOS, czy wspominają o wykorzystanej luce.
- Przekaż narażonym współpracownikom kanały pomocy, na przykład Digital Security Helpline organizacji Access Now.
