Wystarczyło wejść na zainfekowaną stronę z nieaktualnym iOS albo Chrome na Androidzie, żeby grupa APT29, którą Sekoia wiąże z rosyjskim wywiadem, wykradła z telefonu ciasteczka logowania i hasła. Z części iPhone’ów kradła też bazy WhatsAppa i Telegrama. Tak opisuje kampanię francuska firma Sekoia w raporcie z 4 listopada 2026 roku. Wszystkie użyte luki producenci załatali, zanim kampania się zaczęła, więc ochroną jest zwykła aktualizacja iOS i Chrome. Stan na 4 listopada 2026 roku, godz. 12:10, według raportu Sekoii, biuletynów bezpieczeństwa Apple, Chrome Releases i Qualcomma.
Co odkryła Sekoia
Zespół Threat Detection & Research firmy Sekoia w połowie października 2026 roku trafił na kampanię typu “wodopój” (watering hole). W takim ataku przestępca zatruwa strony, które ofiara i tak odwiedza. Raport Sekoii opisuje trzy drogi infekcji:
- wstrzyknięty kod na prawdziwych stronach, między innymi ukraińskiego producenta gazu, amerykańskiego stowarzyszenia branży chemicznej, bułgarskiej strony związanej z wojskiem i czeskiego ruchu skrajnej prawicy;
- podrobione strony-pośrednicy, które pokazywały treść oryginału i doklejały złośliwy skrypt; podszywały się pod serwis amerykańskich obchodów 250-lecia niepodległości America250 i pod londyński hotel Raffles London at The OWO;
- przejęty skrypt analityczny Plerdy, ukraińskiego narzędzia do statystyk stron, w dniach od 27 sierpnia do 3 września 2026 roku.
Skala tej trzeciej drogi jest największa. Sekoia we wstępie pisze o setkach stron, a dalej, że skrypt Plerdy ładują tysiące stron, w większości ukraińskich. Wśród nich były strony wojskowe, rekrutacyjne i ze sprzętem wojskowym, w tym dronami. Raport nie wymienia polskich stron ani ofiar w Polsce. Ryzyko mogło dotyczyć także osób w Polsce, jeśli weszły na zainfekowaną stronę z telefonu z podatną wersją systemu lub przeglądarki.
Sekoia z “umiarkowaną do wysokiej” pewnością przypisuje kampanię grupie APT29, znanej też jako Midnight Blizzard i Cozy Bear. Grupę tę wiąże się z rosyjskim wywiadem zagranicznym SVR. To ocena Sekoii oparta na podobieństwach technicznych i operacyjnych do wcześniejszych kampanii tej grupy.
Jak działał atak bez klikania w nic
Na zainfekowanej stronie ładował się dodatkowy skrypt, który zbierał opis przeglądarki i telefonu: system, wersję, rozmiar ekranu, obsługę dotyku. Serwer atakujących na tej podstawie wysyłał gotowy zestaw exploitów, czyli kodu wykorzystującego konkretne luki. Według Sekoii nie była potrzebna żadna interakcja użytkownika poza wejściem na stronę. Jeśli ekran nie wyglądał na telefonowy albo urządzenie nie miało dotyku, serwer nie wysyłał nic.
Jeden z zestawów na iPhone’a to DarkSword. Sekoia podejrzewa, że stworzył go komercyjny dostawca oprogramowania szpiegującego, a we wrześniu 2026 roku zestaw trafił do serwisu VirusTotal. Złośliwy kod nie instalował się w telefonie na stałe. Kradł dane od razu i wysyłał je na serwer atakujących.
Które telefony były zagrożone
Zagrożone były tylko telefony z konkretnymi, starymi wersjami systemu albo przeglądarki. Sekoia pisze wprost: “All three exploit chains rely entirely on known, already-patched vulnerabilities”, czyli wszystkie trzy łańcuchy korzystają ze znanych, już załatanych luk. Użytkownik z aktualnym systemem jest według firmy bezpieczny.
| Łańcuch | Cel według Sekoii | Co kradł | Luki | Poprawka |
|---|---|---|---|---|
| A | iPhone z iOS 16.7 (łańcuch działa na 16.0-17.4) | ciasteczka, czyli zapisane sesje logowania | CVE-2025-43529, CVE-2024-27834 | iOS 18.7.3 i 26.2 (12.12.2025); iOS 16.7.8 i 17.5 (13.05.2024) |
| B | iPhone z iOS 18.5 | SMS i iMessage, pocztę, bazy WhatsAppa i Telegrama, hasła z pęku kluczy, hasła Wi-Fi, kontakty, historię połączeń, kalendarz, notatki, lokalizację, dane Zdrowia, zdjęcia, iCloud Drive | CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510, CVE-2025-43520 | iOS 18.7.2 i 26.1 (listopad 2025), iOS 18.7.3 i 26.2 (12.12.2025), iOS 26.3 (11.02.2026) |
| C | Chrome 139-145 na Androidzie, bez wersji 143 | ciasteczka, dane logowania, historię i zapisane hasła Wi-Fi | CVE-2026-3910, CVE-2025-27038 | Chrome 146.0.7680.75 i nowsze (12.03.2026); sterownik Adreno: poprawka Qualcomma dla producentów z maja 2025 |
Daty poprawek pochodzą z opisów bezpieczeństwa Apple, z Chrome Releases i z biuletynu Qualcomma z czerwca 2025 roku. Przy CVE-2026-3910 Google pisał 12 marca, że exploit tej luki istnieje. Ostatnia luka łańcucha C siedzi w sterowniku układu graficznego Adreno, więc jej poprawkę dostarcza producent telefonu w aktualizacji Androida.
Właściciele iPhone’a 8, 8 Plus i X mają najnowszy możliwy system iOS 16.7.16 z 11 maja 2026 roku. W opisach bezpieczeństwa wydań od 16.7.9 do 16.7.16 nie znaleźliśmy poprawki pierwszej luki łańcucha A (CVE-2025-43529). To nasz odczyt list Apple; Sekoia tego przypadku nie omawia i nie pisze, że te telefony są podatne.
Jak sprawdzić wersję i zrobić aktualizację iOS
Najnowsza wersja to iOS 27.2 z 26 października 2026 roku. Tego samego dnia Apple wydało iOS 26.7.2 dla telefonów zostających na iOS 26 i iOS 18.7.11 dla iPhone’a XS, XS Max i XR. Wszystkie trzy mają poprawkę luki CVE-2025-43529, od której zaczynają się oba łańcuchy na iPhone’a. Według instrukcji Apple:
- Zrób kopię zapasową w iCloud albo na komputerze.
- Podłącz iPhone’a do ładowarki i do Wi-Fi.
- Otwórz Ustawienia → Ogólne → Uaktualnienia. Ekran pokazuje zainstalowaną wersję iOS i informację, czy czeka uaktualnienie.
- Jeśli jest dostępne, stuknij Pobierz i zainstaluj.
Żeby nie pilnować tego ręcznie, w tym samym miejscu wejdź w Uaktualnienia automatyczne i włącz Instaluj automatycznie. iPhone zainstaluje wtedy aktualizację w nocy, gdy jest podłączony do ładowarki i Wi-Fi. Apple na stronie z wersjami uaktualnień przypomina, że po zainstalowaniu uaktualnienia przywrócenie poprzedniej wersji systemu nie jest możliwe.
Jak zaktualizować Chrome na Androidzie
Aktualna wersja Chrome na Androida to 157, wydana 3 listopada 2026 roku. Łańcuch C działał na wersjach od 139 do 145, więc każdy Chrome od 146 w górę jest na niego odporny. Według pomocy Google:
- Otwórz Sklep Play.
- W prawym górnym rogu kliknij ikonę profilu.
- Wybierz Zarządzaj aplikacjami i urządzeniami.
- W sekcji Dostępne aktualizacje znajdź Chrome i kliknij Aktualizuj.
Numer wersji sprawdzisz w Chrome: Więcej (trzy kropki) → Ustawienia → Chrome – informacje. Chrome działa na Androidzie 10 i nowszym. Starszy telefon nie dostanie nowej wersji przeglądarki. Poprawkę sterownika Adreno przynosi aktualizacja systemu od producenta telefonu. Jak sprawdzić datę poprawek zabezpieczeń Androida, opisaliśmy przy listopadowej luce SMS of Death.
Co zrobić, jeśli telefon długo nie był aktualizowany
Jeśli w sierpniu i wrześniu 2026 roku twój telefon miał starą wersję z tabeli i czytałeś ukraińskie strony, zaktualizuj system i przeglądarkę, a potem zmień hasła do najważniejszych kont. Sekoia nie podaje liczby ofiar ani listy stron z Plerdy, więc nie da się sprawdzić, czy twój telefon dostał exploit. Po aktualizacji zamknij nieznane sesje w ustawieniach WhatsAppa, Telegrama oraz kont Google i Apple. Skradzione ciasteczko działa jak klucz do zalogowanej sesji, dopóki ta sesja nie wygaśnie albo jej nie zamkniesz. Przed większą zmianą w telefonie warto mieć kopię zapasową WhatsAppa.
Co ten atak mówi właścicielom stron
Przejęty Plerdy pokazuje, że każdy cudzy skrypt na stronie, od statystyk po czat, może podać odwiedzającym złośliwy kod. Strona nie musi być w ogóle włamana. Przez tydzień strony ładujące przejęty plik trackera Plerdy przekazywały odwiedzającym także skrypt atakujących, choć ich właściciele niczego nie zmienili. Sekoia ocenia, że grupa mogła przejąć Plerdy, bo nie udało jej się włamać bezpośrednio do konkretnych ukraińskich stron, które go używały.
Praktyczny wniosek dla firmy z WordPressem czy sklepem: zrób listę zewnętrznych skryptów, wyrzuć te, których nikt nie używa, i sprawdź, czy dostawca narzędzia analitycznego informuje klientów o incydentach.
Najczęstsze pytania
Czy polskie strony były zainfekowane?
Raport Sekoii nie wymienia żadnej polskiej strony ani polskich ofiar. Zainfekowane strony były w Ukrainie, USA, Czechach, Bułgarii i Australii, a skrypt Plerdy ładowały głównie strony ukraińskie. Listy zainfekowanych stron Sekoia w raporcie nie publikuje. Udostępnia ją klientom swojej platformy, a na prośbę także CERT-om i organom ścigania.
Czy restart telefonu usuwa złośliwy kod?
Według Sekoii kod nie zapisywał się w telefonie na stałe; raport nie opisuje osobno, co robi z nim restart. Restart nie cofa jednak kradzieży: dane wysłane na serwer atakujących już tam są. Dlatego ważniejsze od restartu są aktualizacja, zmiana haseł i wylogowanie obcych sesji.
Podsumowanie
Według raportu Sekoii z 4 listopada 2026 roku grupa APT29 atakowała telefony przez zainfekowane strony, podrobione serwisy i skrypt Plerdy, przejęty od 27 sierpnia do 3 września. Wystarczyło wejść na stronę z iPhone’em na iOS 16.7 lub 18.5 albo z Chrome 139-145 na Androidzie. Atakujący kopiowali ciasteczka logowania, a z iPhone’ów z iOS 18.5 także bazy WhatsAppa i Telegrama, hasła i zdjęcia. Wszystkie luki były załatane przed kampanią, najpóźniej w iOS 26.3 z lutego i Chrome 146 z marca 2026 roku. Sprawdź dziś w Ustawienia → Ogólne → Uaktualnienia, czy masz iOS 27.2, 26.7.2 albo 18.7.11, a na Androidzie zaktualizuj Chrome w Sklepie Play do wersji 157. Stan na 4 listopada 2026 roku, godz. 12:10.
