Хакеры, которых связывают с российской внешней разведкой, несколько месяцев заражали сайты в Европе и США так, чтобы простое открытие страницы на смартфоне позволяло украсть с него данные. Ничего нажимать, скачивать или разрешать жертве было не нужно. Атаку обнаружила французская компания по кибербезопасности Sekoia: по её данным, за ней с умеренной или высокой уверенностью стоит группировка APT29, известная также как Cozy Bear и Midnight Blizzard.
Главная новость для обычных пользователей — успокаивающая. Все уязвимости, которые использовали взломщики, были закрыты производителями ещё до начала кампании. «Пользователь с обновлённой операционной системой защищён от этих атак», — говорится в отчёте Sekoia. Опасность грозила только тем, кто давно не ставил обновления.
Для разных телефонов у хакеров были разные «наборы отмычек»:
- iPhone с iOS 16.7 — у них крали файлы cookie, то есть данные входа на сайты и в приложения, из Safari и других программ;
- iPhone с iOS 18.5 — здесь работал более мощный инструмент DarkSword: он забирал SMS и iMessage, переписку WhatsApp и Telegram, сохранённые пароли, фотографии и историю перемещений;
- Android-смартфоны с процессорами Qualcomm Snapdragon и браузером Chrome версий со 139-й по 145-ю — у них похищали сохранённые логины и пароли Chrome, cookie, историю посещений и пароли от Wi-Fi.
На Android атака шла в два шага: сначала через ошибку в Chrome, затем через уязвимость в драйвере графики Adreno, который стоит в смартфонах на чипах Qualcomm. Google закрыла дыру в браузере в Chrome 146, вышедшем в марте 2026 года, а Qualcomm исправила ошибку драйвера ещё в июне 2025-го. Вредоносная программа не оставалась в телефоне: она собирала данные, отправляла их и удалялась.
Чтобы проверить себя, на iPhone достаточно открыть «Настройки» → «Основные» → «Обновление ПО». На Android стоит зайти в Chrome в «Настройки» → «О браузере Chrome» и убедиться, что версия не ниже 146, а затем проверить дату последнего обновления безопасности в настройках телефона. Обновлять систему важно и по другим причинам: например, недавно Apple выпустила iOS 27.2 с исправлением более 160 уязвимостей.
Ловушки хакеры расставили на сайтах украинской газодобывающей компании, американской ассоциации химической промышленности, болгарской военной организации, чешской ультраправой партии и австралийской клиники. Кроме того, они создали поддельные копии сайтов американского проекта America250 и лондонского отеля Raffles at The OWO, расположенного рядом с британским Минобороны. С 27 августа по 3 сентября был взломан и украинский сервис веб-аналитики Plerdy: через его код вредоносный скрипт попал на тысячи сайтов, в том числе украинских военных подразделений и производителей дронов. Главной целью кампании, по оценке Sekoia, была Украина.
Такой способ атаки называют «водопоем»: злоумышленники не охотятся за жертвой напрямую, а заражают сайты, которые она, скорее всего, посетит. APT29 известна многолетними операциями против правительств и компаний на Западе. Sekoia заметила новую кампанию в середине октября 2026 года и связала её с прежними атаками этой группы — в частности, с взломом сайтов правительства Монголии в 2024 году.
