Кібератака на українські iPhone: чому загрози можуть бути переоціненими.

19 березня в ряді медіа-джерел з'явилася новина про значну кібератаку на українських власників iPhone, яка була здійснена через скомпрометовані українські веб-сайти, включаючи урядовий ресурс з доменом .gov.ua.

Європейський парламент звернувся до експертів у сфері кібербезпеки, аби оцінити реальність цієї загрози.

Що сталося?

Команда експертів з кібербезпеки з Google, iVerify та Lookout виявила, що ймовірна група російських хакерів (UNC6353) здійснила атаки на декілька українських веб-ресурсів, серед яких є щонайменше один сайт державного органу з доменом .gov.ua. На цих платформах був інтегрований прихований шкідливий код.

Атака відбувалася протягом щонайменше з грудня 2025 року по березень 2026 року.

Якщо власник iPhone відвідував скомпрометований веб-ресурс, його гаджет міг автоматично захворіти через експлойт DarkSword. За даними аналітиків, під загрозою опинилися пристрої на iOS 18.4-18.6.2, що становить приблизно 270 мільйонів iPhone в усьому світі.

Експлойт скористався уразливістю операційної системи iOS для інсталяції шпигунського програмного забезпечення під назвою Ghostblade. Це ПЗ здатне збирати різноманітні дані, включаючи паролі до Wi-Fi, текстові повідомлення, записи дзвінків, геолокацію, історію переглядів в браузері, нотатки, календарні записи та навіть медичну інформацію.

На відміну від попередніх нападів цього угрупування, які мали на меті викрадення криптовалюти, цього разу акцент було зроблено на спостереженні та зборі розвідувальних даних.

Чому загроза перебільшена

Засновник та генеральний директор кібербезпекової компанії AmonSul, Сергій Харюк, переконаний, що фактичний рівень загрози є значно нижчим, ніж те, що зображується в засобах масової інформації.

Він зазначив, що одним із сайтів, які зазнали зараження, є ресурс Сьомого апеляційного адміністративного суду Вінниці, який має досить малий обсяг відвідувань. Тому кількість можливих постраждалих користувачів є обмеженою.

Крім того, вразливість стосувалася версій iOS 18.4-18.6.2, які вийшли ще у березні 2025 року і з того часу неодноразово оновлювалися. Це означає, що більшість користувачів, які регулярно оновлюють систему, не підпадали під ризик.

Згідно з висловлюваннями Харюка, виглядає так, що сам експлойт, ймовірно, вже став відомим, що призвело до його появи на комерційному ринку. Розробники намагаються компенсувати свої витрати, продаючи доступ до нього третім особам.

Саме з цією метою UNC6353 і міг бути застосований, враховуючи досвід їх попередньої роботи.

Це також пояснює, чому за атакою стоїть не класичне державне угруповання на кшталт російських ГРУ чи ФСБ, а фінансово мотивовані кіберзлочинці.

Тобто попри гучні заголовки, загроза стосується відносно вузького кола людей: тих, хто відвідував маловідомий сайт суду і при цьому не оновлював iPhone майже рік.

Інший експерт у галузі кіберзахисту, з яким поспілкувалася ЕП, підкреслює, що подібні випадки відбуваються досить часто, і не слід поширювати їх наслідки на мільйони українських користувачів.

На його думку, регулярні зусилля щодо виявлення вразливостей є однією з основних причин частих оновлень мобільних операційних систем.