Przejdź do treści
Phishing i oszustwa

Atak zero-click na WhatsApp: przejęcie konta bez kliknięcia. Jak chronić BLIK?

Analitycy bezpieczeństwa opisali kampanię, w której cyberprzestępcy przejmowali konta WhatsApp na iPhone’ach z iOS 16, aby wyłudzać kody BLIK. Atak typu zero-click nie wymagał interakcji użytkownika.

3 min read
A minimalist composition of a glowing smartphone floating in a dark space, with a faint, translucent chain wrapping around it, symbolizing a hidden compromise. In the background, a blurred silhouette of a person holding a key, representing the victim unaware of the threat.

Oszuści nieustannie szukają nowych sposobów na wyłudzenie pieniędzy, a jednym z najgroźniejszych obecnie zagrożeń są ataki typu zero-click na komunikatory. Analitycy z Forenser Digital Investigation opisali kampanię, w której cyberprzestępcy przejmowali konta WhatsApp na iPhone’ach z systemem iOS 16, aby następnie wyłudzać kody BLIK od znajomych ofiary. Atak nie wymagał od użytkownika żadnej interakcji – wystarczyło, że na urządzenie trafiła spreparowana wiadomość.

Jak działa atak zero-click na WhatsApp?

Mechanizm ataku opierał się na dwóch podatnościach: CVE-2025-55177 w komunikatorze WhatsApp oraz CVE-2025-43300 w systemowym komponencie Apple o nazwie ImageIO. Jak wyjaśniają badacze, luka w WhatsApp wynikała z błędnej autoryzacji komunikatów synchronizacyjnych między urządzeniami. Dzięki temu atakujący mógł wysłać do telefonu ofiary ukrytą wiadomość, która zmuszała aplikację do pobrania złośliwej treści.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Drugi błąd, występujący w frameworku ImageIO odpowiedzialnym za przetwarzanie grafiki, pozwalał na wykonanie kodu poza przydzielonym obszarem pamięci. W praktyce oznaczało to, że połączenie obu podatności umożliwiało zdalne przejęcie sesji WhatsApp bez wiedzy użytkownika. Co istotne, na liście połączonych urządzeń nie pojawiały się żadne nieznane wpisy, a wysłane wiadomości nie były widoczne w aplikacji ofiary.

Kto jest narażony i jaki jest cel ataku?

Zagrożenie dotyczy posiadaczy iPhone’ów od modelu 8 do 14 (w tym wariantów X, XR, XS, 11, SE, 12 i 13) działających na systemie iOS 16. Atakujący wykorzystywali przejęte konta do wyłudzania kodów BLIK od znajomych ofiary. Schemat był prosty: osoba, która straciła dostęp do swojego konta, nie wiedziała, że w jej imieniu wysyłane są prośby o pilną pożyczkę. Ponieważ wiadomości pochodziły z zaufanego numeru, odbiorcy często ulegali presji i przekazywali kody.

Badacze nie potwierdzili jednoznacznie, czy atakujący mieli dostęp do historii rozmów. Ze względu na szyfrowanie end-to-end prawdopodobieństwo odczytania starych wiadomości ocenia się jako niewielkie. Nie zmienia to faktu, że samo przejęcie aktywnej sesji stanowi poważne naruszenie bezpieczeństwa.

Jak się bronić przed atakiem zero-click?

Najważniejszym krokiem jest niezwłoczna aktualizacja oprogramowania. Apple naprawiło lukę w ImageIO w sierpniu 2025 roku, a Meta wydała poprawkę dla WhatsApp. Osoby, które nadal korzystają z iOS 16 i nie zaktualizowały komunikatora, powinny to zrobić natychmiast. W przypadku exploitów zero-click czas reakcji ma kluczowe znaczenie – odkładanie aktualizacji może skutkować utratą kontroli nad urządzeniem.

Dodatkową warstwę ochrony stanowi włączenie blokady czatów w WhatsApp (PIN lub biometria). Jak wskazują analitycy, funkcja ta znacząco utrudnia przeprowadzenie ataku, nawet jeśli telefon zostanie zainfekowany. Warto również pamiętać o zasadzie ograniczonego zaufania: każdą prośbę o przelew czy kod BLIK należy zweryfikować, wykonując bezpośrednie połączenie do rozmówcy.

Szerszy kontekst: rosnąca fala oszustw

Ataki na WhatsApp wpisują się w szerszy trend wzrostu cyberprzestępczości. FBI ostrzega przed gwałtownym wzrostem strat spowodowanych oszustwami z wykorzystaniem bankomatów kryptowalutowych – w 2025 roku Amerykanie stracili ponad 388 milionów dolarów, co stanowi wzrost o 58% w porównaniu z rokiem poprzednim. Coraz częściej przestępcy sięgają też po zaawansowane techniki socjotechniczne, które omijają tradycyjne zabezpieczenia.

W przypadku opisanego ataku na WhatsApp kluczowe jest zrozumienie, że ofiara nie musi popełnić żadnego błędu. Nie trzeba klikać w link ani otwierać załącznika – wystarczy, że telefon odbierze wiadomość. Dlatego tak ważne jest regularne aktualizowanie systemu i aplikacji, a także zachowanie czujności wobec nietypowych próśb finansowych, nawet jeśli pochodzą od zaufanych osób.

#BLIK #iOS #phishing #socjotechnika #WhatsApp #zero-click
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A young man in his 20s, sitting at a desk with a gaming headset, looking shocked at his smartplain object, natural indoor lighting, photorealistic, shallow depth of field, Polish apartment setting, no visible text or logos on screen, 16:9, high contrast, sharp focus on face and phone. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Phishing i oszustwa

Oszuści kradną konta graczy Call of Duty Mobile. Tak wyłudzają hasła i kod 2FA

29 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Medium shot of a middle-aged man in a kitchen, looking worried at his smartphone held in one hand, the other hand rubbing his temple. Natural light from window, wearing casual home clothes, realistic expression of concern. Photorealistic, 16:9, shallow depth of field, subtle film grain, warm interior lighting. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Phishing i oszustwa

65 proc. ataków obeszło MFA w trzy miesiące. Jak hakerzy kradną twoje konto?

28 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe: mężczyzna około 35 lat siedzi przy stole w kuchni w polskim bloku, trzyma smartfon w dłoni, patrzy na ekran z zaniepokojoną miną, naturalne światło dzienne, widoczny fragment pokoju (mebel, krzesło), głębia ostrości na twarz i telefon, lekki szum zdjęcia, 16:9, wysoki kontrast, brak jakichkolwiek napisów i cyfr na ekranie i przedmiotach. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Phishing i oszustwa

Telegramowe oszustwo na konto. 64 numery na celowniku hakerów

27 lipca, 2026 3 min read