Zero-click atak na WhatsApp i iOS 16. Jak chronić się przed przejęciem konta i wyłudzeniem BLIK?

Własny smartfon nagle wysyła wiadomości, o których nic nie wiemy. Znajomy dzwoni z pretensjami o nieoddany dług, a na liście połączonych urządzeń nie widać intruza. Taki scenariusz nie jest hipotetyczny – stoi za nim atak typu zero-click wymierzony w użytkowników iPhone’ów z systemem iOS 16 i aplikacją WhatsApp. Jak podają analitycy z Forenser Digital Investigation, cyberprzestępcy łączą dwie luki, by przejąć kontrolę nad komunikatorami i wyłudzać kody BLIK. Dla osób korzystających ze starszych modeli telefonów Apple to realne ryzyko, które można zminimalizować aktualizacją oprogramowania.

Jak działa przejęcie konta bez kliknięcia?

Mechanizm ataku opiera się na dwóch podatnościach: CVE-2025-55177 w WhatsApp oraz CVE-2025-43300 w systemowym komponencie Apple – frameworku ImageIO. Luka w komunikatorze wynika z błędnej autoryzacji komunikatów synchronizacyjnych między urządzeniami. Atakujący może wysłać ofierze ukrytą wiadomość, która – bez żadnej interakcji – zmusza WhatsApp do pobrania złośliwej treści.

Drugi błąd występuje w ImageIO, bibliotece odpowiedzialnej za przetwarzanie grafiki. Gdy na telefon trafia plik graficzny (np. w wiadomości), system automatycznie generuje podgląd. Specjalnie zmodyfikowane metadane powodują zapis danych poza dozwolonym obszarem pamięci (ang. out-of-bounds), co prowadzi do wykonania złośliwego kodu. „Podatność typu zero-click […] nie wymagała od użytkownika żadnej interakcji” – czytamy w raporcie analityków. W efekcie przestępca przejmuje materiał kryptograficzny potrzebny do inicjalizacji sesji i może uruchomić klienta WhatsApp na innym urządzeniu, podszywając się pod ofiarę.

„Wszystkie zainfekowane smartfony działały na systemie iOS 16. Badaczom nie udało się jednoznacznie potwierdzić, czy atakujący mieli dostęp do historii rozmów na WhatsAppie.” – Forenser Digital Investigation

Kto jest najbardziej narażony?

Z ustaleń specjalistów wynika, że podatność dotyczy modeli od iPhone 8 do iPhone 14 (w tym wariantów X, XR, XS, 11, SE, 12 i 13). Warunkiem koniecznym jest system iOS 16. Co istotne, atak nie pozostawia śladów na liście podłączonych urządzeń – sekcja „Połączone urządzenia” (ang. Linked devices) nie wyświetla nieautoryzowanych sesji. Osoba uwierzytelniona przez serwer może wysyłać wiadomości, podczas gdy telefon ofiary nie rejestruje tych rozmów.

Celem atakujących są kwestie finansowe. W opisanych przypadkach przejęte konta służyły do wyłudzania kodów BLIK od znajomych ofiary. Schemat polega na podszyciu się pod właściciela konta i poproszeniu o pilny przelew – np. za pomocą wiadomości, która nigdy nie trafia do historii rozmów właściciela.

Jak skutecznie się bronić?

Podstawową i najskuteczniejszą obroną jest natychmiastowa aktualizacja oprogramowania. Zarówno Meta (właściciel WhatsApp), jak i Apple wydały poprawki bezpieczeństwa naprawiające obie podatności. Opóźnianie instalacji aktualizacji w przypadku exploitów zero-click może skutkować utratą kontroli nad urządzeniem.

Włączenie w komunikatorze blokady czatów – za pomocą kodu PIN lub biometrii – redukuje płaszczyznę ataku i znacząco utrudnia jego realizację. Warto pamiętać, że każdą prośbę o przelew czy podanie numeru BLIK należy zweryfikować, wykonując bezpośrednie połączenie telefoniczne do rozmówcy. Forenser Digital Investigation opisuje pełny mechanizm ataku, podkreślając, że atak odbywa się całkowicie w tle, bez wiedzy ofiary.

Czego nie wiemy o ataku?

Mimo szczegółowej analizy badacze nie potwierdzili jednoznacznie, czy przestępcy mieli dostęp do historii rozmów na WhatsAppie. Ponieważ treści są szyfrowane end-to-end, prawdopodobieństwo uzyskania do nich dostępu ocenia się jako niewielkie. Nie wiadomo również, ile dokładnie kont zostało przejętych w tej kampanii – opisany przypadek pochodzi z Włoch, ale skala zagrożenia może być szersza.

Obserwacja logów systemowych i anomalii w ruchu sieciowym pozwoliła analitykom zidentyfikować charakterystyczny objaw: ciągły proces ponownej synchronizacji konta między dwoma urządzeniami. Dla zwykłego użytkownika taki sygnał jest trudny do wychwycenia, dlatego kluczowa jest profilaktyka.

Zagrożenie pokazuje, że nawet komunikatory z szyfrowaniem nie są w pełni odporne na ataki wykorzystujące błędy w implementacji. Konsekwentne instalowanie poprawek i stosowanie dodatkowych zabezpieczeń, takich jak blokada dostępu do aplikacji, pozostają najrozsądniejszą strategią. W razie podejrzanych próśb o pieniądze od znajomych – nawet jeśli wydają się autentyczne – warto sięgnąć po telefon i potwierdzić prośbę głosowo. Kreatywność atakujących nie zna granic, ale odpowiednie nawyki mogą skutecznie ograniczyć ryzyko.