Mi történt
A Forbes október 22-i cikke szerint biztonsági kutatók (Scott Helme, a Report URI vezetője, és a mobilbiztonsággal foglalkozó iVerify) egy kiterjedt kampányt tártak fel, amely feltört weboldalakon és rosszindulatú hirdetéseken keresztül juttat kémprogramot iPhone-okra. Az áldozatnak nem kell letöltenie vagy telepítenie semmit: elég megnyitnia egy fertőzött oldalt, vagy megjelennie egy fertőzött hirdetésnek a kijelzőjén (az egyik eset szerint Instagramon keresztül is).
A kutatók legalább 6600 legitim, feltört weboldalt találtak, ezeknek együttesen havi 49 millió látogatója van. Ebből 248 oldal (havi kb. 8 millió látogató) közvetlenül iPhone-kémprogramot szolgál ki, a többi átirányít más, kéretlen tartalomra. A kampányt a kutatók "DeadTag crew" néven azonosított csoporthoz kötik, amely hetente akár 10 új domaint is indít, és hozzáférést árul más bűnözőknek, akik aztán szabadon választják meg, mit szolgálnak ki az áldozatoknak. Az egyik ilyen "ügyfél" két olyan exploit kitet használ, amelyek a kutatók szerint állami hírszerzési eszközökből szivároghattak ki, és tavasz óta aktívak bűnözői kézben.
Fontos pontosítás: ez nem zero-day támadás. A kihasznált hibákra Apple már kiadott javítást, a kampány azokat az eszközöket célozza, amelyeken a frissítés nem futott le. A kutatók szerint a kód arra is felkészült, hogy újabb, még nem javított hibákat használjon, de konkrét ilyen esetről nem írnak. A végcél jellemzően a telefonon tárolt kriptovaluta-tárhelyek kiürítése.
Miért érint ez egy kkv-t
Ez elsőre magánfelhasználói probléma, de van egy pont, ahol átcsúszik céges kérdésbe: a BYOD (bring your own device) helyzet. Ha a munkatársaid a saját telefonjukról érik el a céges e-mailt, a Teamset, a VPN-t vagy egy jelszókezelőt, akkor egy frissítetlen, kompromittálódott iPhone nem csak az ő problémája.
A tipikus kkv-s helyzet: nincs mobileszköz-kezelés (MDM), nincs házirend arra, hogy mi fér hozzá a céges fiókokhoz saját eszközről, és senki nem ellenőrzi, hogy a telefonok frissítve vannak-e. Egy ilyen kampány pont ezen a résen jut be: nem kell adathalász e-mailt küldeni, elég egy hirdetés egy amúgy megbízhatónak hitt oldalon.
Mit lehet tenni
- Frissítés, mint minimum. A kampány frissítetlen eszközöket céloz. Ha ez egyetlen dolog van, amit elvégzel, ez legyen az: iOS automatikus frissítés bekapcsolva, rendszeresen ellenőrizve.
- Gondold át, mi fér hozzá saját eszközről. Ha nincs MDM, legalább feltételes hozzáférési szabály legyen: a céges postafiók vagy VPN csak frissített, PIN-/Face ID-védett eszközről legyen elérhető.
- Kriptotárhely és céges hozzáférés ne legyen ugyanazon a telefonon felügyelet nélkül. Ha valakinek van kriptovaluta-tárhelye a saját telefonján, és azzal éri el a céges rendszereket is, az kockázatnövelő kombináció.
- Reklámblokkolás és böngészőhigiénia. A fertőzés útja hirdetés és feltört weboldal, nem letöltött fájl. Egy tartalomblokkoló és az, hogy senki nem kattint vakon gyanús hirdetésre, csökkenti a kitettséget.
- Vedd fel a BYOD-ot a leltárba. Egy IT biztonsági felmérésnek pont ez a dolga: számba venni, mi éri el a céges adatokat, saját eszközről is, és hol vannak hiányzó szabályok.
Amit ebből érdemes tanulni
A támadás nem technikai bravúr a te oldaladról nézve, hanem egy egyszerű tény bizonyítéka: egy frissítetlen telefon ugyanolyan belépési pont, mint egy frissítetlen szerver, csak kevesebben gondolnak rá úgy. Ha a cégednél bárki saját telefonról ér el céges fiókot, az az eszköz a hálózatod része, akár szeretnéd, akár nem.
Segítek átnézni. Az IT biztonsági felmérés kkv-knak pont ezt a típusú kockázatot is feltérképezi: ki fér hozzá mihez, milyen eszközről, és mi hiányzik a szabályozásból.
Forrás: Forbes (Thomas Brewster, 2026. október 22.), Scott Helme / Report URI, iVerify.