Przejdź do treści
Phishing i oszustwa

Zero-click na WhatsApp: nowa fala ataków na iPhone’y z iOS 16

Atakujący przejmują konta WhatsApp na iPhone’ach z iOS 16 bez kliknięcia ofiary. Celem są wyłudzenia BLIK. Skuteczna obrona to natychmiastowa aktualizacja.

3 min read
An abstract composition of a glowing smartphone silhouette partly dissolving into a dark, tangled network of thin cables, with a single key-shaped beam of light piercing through the chaos.

Masz iPhone’a z iOS 16 i korzystasz z WhatsApp? Meta oraz analitycy bezpieczeństwa potwierdzili, że atakujący wykorzystują łańcuch podatności typu zero-click, by przejmować konta komunikatora bez wiedzy ofiary. Celem kampanii są przede wszystkim wyłudzenia kodów BLIK – skuteczną obroną jest natychmiastowa aktualizacja systemu i aplikacji.

Jak wygląda atak bez kliknięcia?

Analitycy z firmy Forenser Digital Investigation opisali mechanizm ataku, który nie wymaga od użytkownika żadnej interakcji. Ofiara nie musi klikać w link, otwierać załącznika ani skanować kodu QR. Wystarczy, że na jej iPhone’a trafi specjalnie spreparowana wiadomość w WhatsApp – cały proces odbywa się w tle, bez jakichkolwiek powiadomień.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Jak podają badacze, podatność dotyczy urządzeń od iPhone 8 do iPhone 14 (warianty X, XR, XS, 11, SE, 12 i 13) działających na systemie iOS 16. Cyberprzestępcy wykorzystują łańcuch dwóch błędów: luki w autoryzacji synchronizacji WhatsApp (CVE-2025-55177) oraz błędu w systemowym komponencie Apple do przetwarzania grafiki ImageIO (CVE-2025-43300). Dzięki nim mogą wykraść materiał kryptograficzny potrzebny do zainicjowania nowej sesji komunikatora na innym urządzeniu.

Dlaczego ofiara nie widzi śladów przejęcia?

To kluczowa cecha opisanego ataku. Osoba, która przejmuje kontrolę nad kontem, może wysyłać wiadomości, podczas gdy sekcja „Połączone urządzenia” (Linked devices) w WhatsApp nie pokazuje żadnych nieprawidłowości. Wysłane przez atakującego treści nie są też widoczne w historii rozmów użytkownika. Jak wyjaśniają analitycy w serwisie Sekurak, mechanizm polega na ciągłym procesie ponownej synchronizacji – dwa różne urządzenia próbują utrzymać kontrolę nad tym samym kontem.

Badacze nie potwierdzili jednoznacznie, czy atakujący mają dostęp do historii rozmów. Z uwagi na szyfrowanie end-to-end komunikatora, prawdopodobieństwo odczytania starych wiadomości ocenia się jako niskie. Głównym celem przestępców są kwestie finansowe – przejęte konta służą do wysyłania próśb o kod BLIK do znajomych ofiary.

Kto jest narażony i jak się bronić?

Atak dotyczy posiadaczy starszych iPhone’ów z systemem iOS 16. Co istotne, ani Apple, ani Meta nie pozostawiły użytkowników bez wsparcia. Firma Apple naprawiła lukę CVE-2025-43300 w sierpniu 2025 roku. Z kolei WhatsApp wydał poprawkę na błąd CVE-2025-55177.

Skuteczną obroną jest więc niezwłoczna aktualizacja oprogramowania – zarówno systemu iOS, jak i samej aplikacji. W przypadku exploitów zero-click czas reakcji ma ogromne znaczenie. Odkładanie aktualizacji na później może skutkować utratą kontroli nad urządzeniem.

Analitycy z Forenser Digital Investigation dodają również, że włączenie w komunikatorze funkcji blokady czatów (kod PIN, biometria) redukuje płaszczyznę ataku i znacząco utrudnia jego realizację.

Co robić, gdy podejrzewamy atak?

Podstawowa zasada pozostaje niezmienna: każdą prośbę o wykonanie przelewu czy podanie kodu BLIK należy zweryfikować przez bezpośrednie połączenie telefoniczne do rzekomego znajomego. Oszuści liczą na zaskoczenie i presję czasu.

Jeśli podejrzewasz, że twoje konto mogło zostać przejęte, natychmiast zmień hasło do WhatsApp, wyloguj się ze wszystkich urządzeń w ustawieniach aplikacji i włącz uwierzytelnianie dwuskładnikowe. Możesz również zgłosić incydent do CERT Polska przez formularz na stronie incydent.cert.pl lub w aplikacji mObywatel w usłudze „Bezpiecznie w sieci”.

Warto pamiętać, że kreatywność atakujących nie zna granic, a metody ataku dostosowują się do obecnych trendów. Regularne aktualizowanie oprogramowania to podstawa bezpieczeństwa – w przypadku exploitów zero-click nie ma miejsca na zwłokę.

#BLIK #iOS 16 #iPhone #phishing #WhatsApp #zero-click
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A young man in his 20s, sitting at a desk with a gaming headset, looking shocked at his smartplain object, natural indoor lighting, photorealistic, shallow depth of field, Polish apartment setting, no visible text or logos on screen, 16:9, high contrast, sharp focus on face and phone. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Phishing i oszustwa

Oszuści kradną konta graczy Call of Duty Mobile. Tak wyłudzają hasła i kod 2FA

29 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Medium shot of a middle-aged man in a kitchen, looking worried at his smartphone held in one hand, the other hand rubbing his temple. Natural light from window, wearing casual home clothes, realistic expression of concern. Photorealistic, 16:9, shallow depth of field, subtle film grain, warm interior lighting. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Phishing i oszustwa

65 proc. ataków obeszło MFA w trzy miesiące. Jak hakerzy kradną twoje konto?

28 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe: mężczyzna około 35 lat siedzi przy stole w kuchni w polskim bloku, trzyma smartfon w dłoni, patrzy na ekran z zaniepokojoną miną, naturalne światło dzienne, widoczny fragment pokoju (mebel, krzesło), głębia ostrości na twarz i telefon, lekki szum zdjęcia, 16:9, wysoki kontrast, brak jakichkolwiek napisów i cyfr na ekranie i przedmiotach. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Phishing i oszustwa

Telegramowe oszustwo na konto. 64 numery na celowniku hakerów

27 lipca, 2026 3 min read