En ny sikkerhedsrapport beskriver en kampagne, hvor hackere med mulig tilknytning til Ruslands efterretningstjeneste udnyttede allerede lappede sårbarheder i både iOS og Android til at forsøge at inficere besøgende på udvalgte websites. For Apple-brugere er den klare pointe enkel: Hvis din iPhone ikke kører en opdateret version, kan gamle fejl stadig være en aktiv risiko.

Ars Technica beskriver, hvordan forskere vurderer med “moderat til høj sikkerhed”, at gruppen var del af Russlands udenrigsefterretningstjeneste. ifølge Ars Technica begyndte angrebene, når en iPhone- eller Android-bruger besøgte et af potentielt hundredvis af websites. Derefter blev der injiceret JavaScript i trafikken, som først profilerede enheden og siden leverede en målrettet payload til den relevante platform.

Gamle fejl, nye angreb

Angrebene udnyttede ikke nye, ukendte fejl, men “n-days” — altså sårbarheder, som allerede var patchet. Det betyder, at kampagnen kun virkede på enheder, der ikke var fuldt opdaterede.

Det er den praktiske læring for iPhone-ejere: En opdatering er ikke bare kosmetik eller nye funktioner. Den kan være forskellen på, om en kendt fejl stadig kan bruges i et aktivt angreb.

Hvad angriberne forsøgte at stjæle

Ars Technica skriver, at payloads forsøgte at stjæle browsercookies og i nogle tilfælde også Wi‑Fi-adgangskoder og fulde data fra mobilen. Angrebene var zero-click i den forstand, at de ikke krævede en ekstra handling fra offeret, når den skadelige kode først var leveret.

Forskerne beskriver tre leveringsveje: direkte JavaScript-injektion i trafikken fra legitime websites, proxy-domæner som america250[.]holiday og et kompromitteret ukrainsk webanalyseværktøj, der blev brugt på tværs af tusindvis af websites.

Hvem blev ramt?

Et af de navne, der går igen i rapporten, er america250.org, som tilhører en non-partisan gruppe med tilknytning til markeringen af USA’s 250-års jubilæum. Hackerne registrerede et næsten identisk domæne og brugte det som reverse proxy til den rigtige side, så den skadelige JavaScript-kode kunne lægges ind i indholdet.

Et andet eksempel var theowo[.]club, som proxyede Raffles of London OWO, et luksushotel tæt på britiske regeringsbygninger. Forskerne vurderer, at det kan have været valgt for at ramme diplomatiske mål og andre højtprofilerede gæster. Kampagnen ramte også andre sites, blandt andet en ukrainsk gasproducent og et webanalysefirma.

Hvad det betyder for danske Apple-brugere

Der er ikke noget i materialet, der peger på en specifik dansk målretning. Men sagen er stadig relevant i Danmark, fordi den viser, at iPhone-brugere ikke kun skal bekymre sig om App Store eller vedhæftede filer. Et almindeligt website kan i nogle tilfælde være nok, hvis enheden ikke er opdateret.

Det ændrer ikke Apples sikkerhedsmodel over natten, men det understreger et velkendt råd: Hold iOS opdateret, også når opdateringen virker lille eller besværlig. I denne type kampagner er det netop de gamle, allerede kendte huller, der bliver våben.

Det, vi ikke ved endnu

Ars Technica skriver, at attributionen til Rusland bygger på målgruppernes profil og ligheder med en tidligere kampagne, som var tilskrevet APT29. Det er altså en vurdering fra forskerne, ikke en officiel bekræftelse fra Apple eller myndighederne i materialet.

Vi ved heller ikke ud fra den foreliggende rapport, hvor mange brugere der faktisk blev kompromitteret, eller om der er tale om en bredere vedvarende kampagne. Men rapporten er klar nok til at konkludere, at opdaterede enheder var en afgørende beskyttelse.

Konklusion: Hvis du ejer en iPhone, er den praktiske konsekvens ikke panik, men disciplin. Opdater iOS, undgå at ignorere sikkerhedsrettelser, og antag ikke, at webangreb kun rammer “de andre”. Denne sag viser, at gamle huller stadig kan være meget levende i hænderne på dem, der ved, hvordan de skal bruges.