Článek přečtěte do 8 min.

Pověstná obezděná zahrada Applu byla dlouho chválena za své robustní zabezpečení díky přísně kontrolovanému ekosystému, přísnému procesu kontroly aplikací a včasným softwarovým záplatám. Přesto, jak se posouváme dále do roku 2025, pokročilé kybernetické hrozby zaměřené na uživatele Apple – zejména na uživatele iPhonů – přetrvávají.

I když je iOS méně náchylný k masovému šíření malwaru než jiné platformy, není nezranitelný.

Ve skutečnosti vyvíjející se sofistikovanost státem sponzorovaných exploitů a útoků zero-click podtrhuje důležitost bdělosti.

V tomto článku prozkoumáme:

  • 10 nejnaléhavějších hrozeb, kterým letos uživatelé iPhone čelí
  • jak k útokům dochází a co je činí zvláště nebezpečnými
  • nejlepší způsoby ochrany vašeho zařízení a osobních údajů

Zero-day exploity a zero-click útoky

Zero-day exploity cílí na zranitelnosti, které Apple v době použití nezná, zatímco zero-click exploity mohou kompromitovat zařízení bez interakce uživatele. Útočníci využívají neobjevené nebo neopravené chyby v kódu iOS, aplikacích pro zasílání zpráv nebo knihovnách pro vykreslování souborů. Útočníci většinou využívají exploit k nasazení spywaru.

Například notoricky známý spyware, jako je Pegasus, dříve používal zranitelnosti iMessage k instalaci sledovacích nástrojů na cílená zařízení, které nevyžadovaly žádné klepnutí nebo kliknutí od oběti.

Nejnověji Meta objevila a rozebrala kampaň, která se prostřednictvím WhatsAppu zaměřovala na novináře a členy občanské společnosti se spywarem Paragon/Graphite.

Zneužití nulového kliknutí je obzvláště nebezpečné, protože obchází většinu bezpečnostních opatření – žádné škodlivé odkazy na kliknutí nebo podezřelé aplikace k instalaci. Záplaty od společnosti Apple nakonec tyto mezery zacelují, ale mezi odhalením exploitu a vydáním opravy existuje kritické okno.

Jak se chránit

  • Povolte automatické aktualizace: nainstalujte záplaty pro iOS okamžitě, protože Apple obvykle spěchá s opravami, když jsou objeveny zero-days.
  • Zůstaňte informováni: sledujte spolehlivé zdroje zpráv o zabezpečení. Pokud uslyšíte o kritickém zneužití systému iOS, okamžitě aktualizujte nebo povolte režim uzamčení, pokud jste ve vysokém riziku.
  • Používejte vyhrazené zabezpečení: nasaďte na svůj iPhone nebo iPad vyhrazené bezpečnostní řešení, abyste omezili šance na úspěšný útok.
  • Používejte vestavěná zabezpečení systému iOS: pokud se považujete za cíl pro hackery,  mějte přepínač režimu uzamčení  na dosah ruky

Škodlivé aplikace

Navzdory přísnosti procesu Apple App Review mohou škodlivé aplikace stále proklouznout. Protože je App Store spravován, uživatelé iOS mu mají tendenci více důvěřovat. Tato důvěra může vést k samolibosti – pokud je aplikace dostupná ke stažení, mnoho lidí předpokládá, že je bezpečná. Přesto je známo, že se na oficiálním App Store objevují nepoctivé aplikace, některé způsobují skutečné škody, než je Apple vytrhne.

Jak se chránit

  • Zkontrolujte přihlašovací údaje vývojáře: před stažením neznámé aplikace se podívejte na historii vývojáře a uživatelské recenze.
  • Sledování oprávnění aplikace: Pokud jednoduchá aplikace tapety požaduje přístup k vašemu mikrofonu nebo umístění, označte to jako červenou vlajku.

Chyby zabezpečení iMessage a FaceTime

Služby iMessage a FaceTime společnosti Apple jsou hluboce začleněny do iOS a nabízejí bezproblémové komunikační funkce. Jakákoli kritická zranitelnost v těchto výchozích aplikacích však může mít dalekosáhlé důsledky, protože automaticky zpracovávají více typů souborů, jako jsou obrázky, GIFy a videa – někdy na pozadí.

Škodlivě vytvořená zpráva by mohla zneužít zranitelnost ve způsobu, jakým iMessage analyzuje obrázky nebo přílohy. Protože iMessage obvykle automaticky načítá média, uživatelé mohou být kompromitováni, aniž by na cokoli klepli. Podobně se FaceTime stal cílem exploitů, které umožňují neoprávněné odposlouchávání nebo vzdálené spuštění kódu.

Jak se chránit

  • Udržujte iOS aktuální: nainstalujte aktualizace, jakmile je Apple vydá, zejména ty, které jsou označeny jako bezpečnostní záplaty.
  • Zakažte automatický přístup aplikací: pokud vám nevadí pohodlí obchodování kvůli bezpečnosti, můžete snížit riziko vypnutím automatického načítání médií ve zprávách.

WebKit exploity (Safari a vestavěné prohlížeče)

Prohlížeče jako Chrome a Firefox v systému iOS používají k vykreslování webového obsahu pro uživatele, aby jej viděli a mohli s ním pracovat, engine WebKit společnosti Apple. To znamená, že jedna zranitelnost WebKit může ovlivnit více aplikací a procházení napříč platformou. Škodlivá webová stránka nebo zobrazení vestavěného prohlížeče může zneužít neopravené chyby WebKit ke spuštění libovolného kódu na vašem zařízení.

Díky všudypřítomnosti Safari a vestavěným webovým zobrazením v nesčetných aplikacích lze jeden exploit rychle škálovat. Útočníci mohou šířit malware jednoduše tím, že lákají uživatele k návštěvě kompromitované webové stránky nebo vkládáním škodlivých webových zobrazení do jinak legitimních aplikací.

Jak se chránit

  • Zůstaňte v obraze: ujistěte se, že používáte nejnovější verzi iOS, která obsahuje opravy Safari/WebKit.
  • Použijte alternativní prohlížeč (pouze EU): v EU mohou iOS a iPadOS provozovat prohlížeče, které se nespoléhají na WebKit; jen si pamatujte, že jiný prohlížeč nemusí nutně znamenat bezpečnější prohlížeč.

Sideloading aplikací mimo oficiální App Store

Uživatelé iOS se tradičně omezovali na stahování aplikací z oficiálního obchodu App Store společnosti Apple, který prosazuje přísná pravidla kontroly, aby se snížilo riziko malwaru. Nicméně, s regulačním tlakem – zejména ze strany Evropské unie – Apple nyní umožňuje sideloading a používání obchodů s aplikacemi třetích stran.

Všechny aplikace dostupné prostřednictvím alternativní distribuce aplikací podléhají notářskému procesu se společností Apple, který zajišťuje základní kontrolu, která se vztahuje na všechny aplikace bez ohledu na jejich distribuční kanál. Tato recenze se zaměřuje na zásady platformy pro zabezpečení a soukromí a také na integritu zařízení.

„Prostřednictvím kombinace automatických kontrol a kontroly člověkem pomáhá notářství zajistit, aby aplikace neobsahovaly známý malware, viry nebo jiné bezpečnostní hrozby, fungovaly tak, jak bylo slíbeno, a nevystavovaly uživatele závažným podvodům,“ uvádí Apple.

Apple však neuplatňuje vysoké standardy svého vlastního App Store pro obchodní postupy a obsah u aplikací distribuovaných prostřednictvím alternativní distribuce aplikací. To znamená, že některé aplikace nemusí splňovat standardy společnosti Apple pro soukromí, zabezpečení a kvalitu. Povolením sideloadingu by mohla být zařízení iOS vystavena novým možnostem útoku.

Jak se chránit

  • Použijte oficiální App Store: když si stáhnete aplikaci z oficiálního App Store, Apple je do jisté míry odpovědný; zdroje třetích stran nemusí dodržovat bezpečnostní standardy nebo rychle odstraňovat nebezpečný obsah.
  • Stahujte pouze z renomovaných zdrojů: pokud se sideloading stane běžnějším na iOS, vyhledejte známé, důvěryhodné obchody s aplikacemi třetích stran nebo oficiální firemní úložiště.
  • Zkontrolujte recenze aplikací a reputaci vývojáře: stejně jako u každé aplikace prozkoumejte historii vydavatele, důvěryhodnost a zpětnou vazbu od komunity.
  • Sledování oprávnění: věnujte zvýšenou pozornost tomu, jaká oprávnění aplikace vyžadují. Překročení oprávnění může být známkou nekalého úmyslu.
  • Zůstaňte v obraze: Udržujte své zařízení na nejnovější verzi iOS, i když instalujete aplikace mimo App Store. Apple bude i nadále poskytovat důležité bezpečnostní záplaty na úrovni operačního systému.
  • Nasaďte řešení zabezpečení: nasaďte na své zařízení důvěryhodné řešení zabezpečení, které pomůže zmírnit rizika.

Sociální inženýrství

Phishing a další útoky sociálního inženýrství psychologicky manipulují lidi, aby odhalili citlivé informace nebo instalovali malware. Spear phishing se specificky zaměřuje na jednotlivce nebo skupiny s přizpůsobenými zprávami, přičemž používá osobní údaje, aby vypadaly jako legitimní (např. vystupování jako spolupracovník nebo důvěryhodný dodavatel).

Žádný stupeň zabezpečení operačního systému vás nemůže ochránit, pokud dobrovolně předáte své přístupové údaje. Sofistikovaní útočníci dokážou vytvořit e-maily nebo texty téměř k nerozeznání od skutečné komunikace – zvláště pokud udělali domácí úkol na vašich osobních nebo profesních detailech.

Jak se chránit

  • Prozkoumejte odkazy a e-maily: dokonce i na vašem iPhone je snadné zkontrolovat doménu odesílatele a gramatiku a všechny podezřelé přílohy.
  • Povolte dvoufaktorové ověřování: používejte 2FA v každé aplikaci a službě, která jej nabízí. I když útočníci získají vaše heslo, k prolomení budou potřebovat další kód.

Fyzická krádež zařízení a slabé přístupové kódy

Pokud někdo ukradne váš iPhone nebo k němu získá neoprávněný přístup, slabé nebo snadno uhodnutelné heslo může být zničující. Krátké číselné sekvence jako „1234“ nebo „0000“ jsou jako kdybychom vůbec neměli přístupový kód, protože útočníci to nejprve zkusí. Jakmile prolomí váš přístupový kód, mohou rychle resetovat vaše heslo Apple ID, deaktivovat funkci „Najít můj iPhone“ a uzamknout vás z vašeho vlastního zařízení.

S vaším zařízením a přístupovým kódem v ruce mohou útočníci přistupovat k e-mailům, bankovním aplikacím a účtům sociálních sítí. Kromě okamžité krádeže mohou zločinci použít vaše účty a osobní údaje ke spáchání podvodu nebo krádeže identity, což způsobí dlouhodobé škody.

Jak se chránit

  • Použijte silný alfanumerický přístupový kód: místo jednoduchého čtyřmístného PINu zvolte delší sekvenci. To výrazně zvyšuje obtížnost uhodnutí vašeho přístupového kódu.
  • Spolehněte se na biometrické ověřování: krátké číselné přístupové kódy lze snadno uhodnout a mohou je sledovat ostatní. Pokud vás někdo uvidí zadávat, může si to zapamatovat a použít k odemknutí vašeho zařízení, když se nedíváte. K odstranění této možnosti používejte Face ID nebo Touch ID, zejména na veřejnosti.
  • Nastavení možností obnovení účtu: přidejte klíč pro obnovení nebo důvěryhodné kontakty pro své Apple ID, abyste měli alternativní způsoby, jak znovu získat přístup, pokud budou vaše hlavní přihlašovací údaje prozrazeny.
  • Jednejte rychle: pokud se váš telefon ztratí, okamžitě se přihlaste do iCloud (nebo použijte jiné zařízení) a označte jej jako ztracený nebo jej vzdáleně vymažte, abyste minimalizovali vystavení dat.

Stalkerware (osobní spyware)

Stalkerware neboli „osobní spyware“ je software navržený (často pod rouškou rodičovské kontroly nebo aplikací pro monitorování zaměstnanců) k utajenému sledování polohy uživatele, hovorů, textových zpráv a online aktivity. Tyto aplikace mohou být děsivě invazivní a shromažďovat aktualizace v reálném čase o vašich zprávách, fotkách, poloze a dokonce i stisknutých klávesách. Stalkerware, který se obvykle používá v nekalých vztazích nebo cíleném sledování, může proklouznout, pokud má útočník dočasný fyzický přístup k zařízení nebo přiměje uživatele k instalaci zdánlivě legitimního konfiguračního profilu.

Jak se chránit

  • Kontrola oprávnění zařízení: pravidelně kontrolujte, které aplikace mají přístup k vaší poloze, mikrofonu, kameře a dalším citlivým oprávněním.
  • Zkontrolujte nainstalované profily: přejděte do Nastavení → Obecné → Správa VPN a zařízení a ujistěte se, že nejsou nainstalovány žádné neznámé nebo podezřelé konfigurační profily.
  • Používejte silné kontroly přístupu: ujistěte se, že je aktivní přístupový kód vašeho zařízení (a Face ID/Touch ID). Zvažte změnu přístupového kódu, pokud by ho mohl znát někdo jiný.
  • Hledejte neobvyklé vybíjení baterie nebo přehřívání: spyware běžící na pozadí může způsobit abnormální využití baterie nebo problémy s výkonem.
  • Aktualizujte iOS a aplikace často: zajistěte, aby byl váš software plně opraven, aby byly uzavřeny běžně využívané mezery.

Útoky na dodavatelský řetězec a porušení služeb třetích stran

Obecně platí, že vždy mějte nainstalovanou nejnovější verzi iOS, abyste měli jistotu, že máte aplikované nejnovější bezpečnostní záplaty; Útok na dodavatelský řetězec může trvat

Je známo, že se to stává: útok na dodavatelský řetězec ohrozí důvěryhodnou službu nebo softwarovou komponentu třetí strany a zavede škodlivý kód, který se šíří ke koncovým uživatelům. Dokonce i legitimní aplikace pro iOS se mohou stát vektory, pokud je s jejich vývojovým nebo aktualizačním procesem manipulováno – zejména prostřednictvím kompromitovaných sad Software Development Kit (SDK).

Útoky na dodavatelský řetězec jsou obzvláště znepokojivé, protože zneužívají důvěru ve známé značky nebo služby. Škodlivý kód často zůstává skrytý v knihovně nebo pluginu, což umožňuje útočníkům oslovit mnoho uživatelů současně.

Jak se chránit

  • Sledujte dodavatele: sledujte bezpečnostní upozornění z oblíbených aplikací a služeb, které používáte.
  • Aktualizace aplikací z renomovaných zdrojů: aktualizujte aplikace pouze prostřednictvím oficiálního obchodu App Store.
  • Udržujte iOS aktualizovaný: zpravidla mějte vždy nainstalovanou nejnovější verzi iOS, abyste měli jistotu, že máte aplikované nejnovější bezpečnostní záplaty; Útok na dodavatelský řetězec může trvat týdny nebo měsíce a zneužít ty, kteří aktualizaci svého softwaru odložili.

Kompromisy účtu iCloud

Přihlašovací údaje iCloud slouží jako klíče k osobnímu trezoru se zálohami, fotkami, zprávami a dalšími. Kyberzločinci se často pokoušejí nacpat přihlašovací údaje (vyzkouší známé přihlašovací údaje z jiných porušení) nebo sofistikovaný phishing, aby ukradli účty iCloud. Úspěšný kompromis poskytuje útočníkům přístup k osobním souborům a možnost resetovat zařízení nebo je dokonce na dálku vymazat.

Díky narušení iCloud si útočník může potenciálně stáhnout celou zálohu vašeho zařízení na svůj vlastní hardware, čímž efektivně naklonuje váš digitální život. To může vést ke krádeži identity, finanční ztrátě a výraznému narušení soukromí.

Jak se chránit

  • Použijte silný PIN: překračujte minimální čtyřmístný přístupový kód, abyste snížili pravděpodobnost, že někdo uhodne váš PIN
  • Používejte na svém účtu iCloud jedinečné a složité heslo: opětovné použití hesel napříč službami je recept na katastrofu. Pokud je vaše heslo odhaleno při porušení, útočníci mohou unést všechny vaše ostatní účty.
  • Zvažte použití správce hesel: důvěryhodný správce hesel může generovat a ukládat silné přihlašovací údaje pro různé účty, včetně vašeho účtu Apple.

Zatímco iOS zůstává jedním z nejbezpečnějších mobilních operačních systémů, vývoj v kybernetickém prostředí ukázal, že žádná platforma není zcela neprostupná.

Uživatelé iPhone také musí přijmout vrstvený přístup k zabezpečení:

  • Buďte ostražití proti phishingu a spywaru.
  • Nainstalujte aktualizace iOS, jakmile spadnou.
  • Používejte bezpečnostní funkce, jako je režim uzamčení, když máte pocit, že byste mohli být cílem.
  • Mějte přehled o novinkách v oblasti kybernetické bezpečnosti, abyste se dozvěděli, co chystají padouši dál.

Nejlepší obranou je nakonec vědomí. Když porozumíte taktice, kterou kyberzločinci používají, budete lépe vybaveni k odhalení podezřelých aktivit a rychlé reakci. Pro více informací nás neváhejte kontaktovat.

Zdroj: Bitdefender