iPhone e Android non aggiornati nel mirino di APT29 secondo Sekoia: 8 falle già corrette

Il team di ricerca di Sekoia ha pubblicato il 4 novembre 2026 l’analisi di una campagna “watering hole” contro iPhone e telefoni Android, scoperta a metà ottobre e attribuita con fiducia «da moderata ad alta» (traduzione nostra) ad APT29, il gruppo legato all’intelligence estera russa noto anche come Midnight Blizzard o Cozy Bear. Le vulnerabilità sfruttate sono otto e, secondo Sekoia, erano tutte già corrette prima della campagna: nessuna è una zero-day e i dispositivi aggiornati non sono colpiti.

Tre modi per arrivare alle vittime

Secondo Sekoia, il primo passaggio è sempre uno script che raccoglie un’impronta dettagliata del dispositivo e del browser; il server degli attaccanti decide poi quale catena di exploit inviare. Per far arrivare le vittime su quelle pagine gli operatori hanno usato tre strade:

• Siti legittimi compromessi, tra cui quelli di un produttore di gas ucraino, di un’associazione di categoria statunitense dell’industria chimica e di un sito bulgaro legato all’ambito militare, dove il codice era nascosto in una libreria JavaScript manomessa.
• Domini sosia che replicavano in tempo reale i siti originali: uno imitava il portale ufficiale America250, l’altro quello del Raffles London at The OWO, albergo di lusso londinese.
• Un tracker compromesso: lo script SEO e di analisi dell’ucraina Plerdy, caricato da migliaia di siti soprattutto ucraini, è stato modificato tra il 27 agosto e il 3 settembre 2026.

Sekoia colloca i siti compromessi o clonati negli Stati Uniti, in Ucraina, in Repubblica Ceca e in Bulgaria, con un’attenzione particolare all’Ucraina; tra i bersagli citati compare anche una clinica medica australiana. Nessun sito italiano figura tra quelli nominati. I primi domini usati per distribuire gli exploit e raccogliere i dati risalgono al 2 e 3 aprile 2026.

Le catene di exploit, versione per versione

La catena per iOS 18.5 è una catena completa di DarkSword, un kit di exploit che Sekoia ritiene sviluppato da un fornitore commerciale di strumenti di sorveglianza, mentre quella per iOS 16.7 ne reimplementa il primo stadio; secondo BleepingComputer è documentato da marzo 2026 e in uso da più gruppi almeno da novembre 2025. Su Android il carico finale è una libreria che Sekoia ha chiamato AndroSnitch. Secondo Sekoia nessuno dei componenti si installa in modo permanente; BleepingComputer ne deduce che un riavvio interrompe l’attività, finché il telefono non torna su una pagina infetta.

Cosa fare

Le indicazioni seguono le pagine di supporto ufficiali di Apple e Google, verificate il 4 novembre 2026.

1. iPhone: aprite Impostazioni > Generali > Aggiornamento Software e installate la versione proposta. Nella stessa schermata, alla voce Aggiornamenti automatici, attivate Installa automaticamente: secondo Apple è il modo migliore per ricevere le correzioni di sicurezza, e l’installazione avviene di solito di notte con il telefono in carica e collegato al Wi-Fi.
2. iPhone non più supportati: installate comunque l’ultima versione disponibile per il vostro modello. Secondo BleepingComputer le correzioni sono arrivate anche su versioni precedenti di iOS, ma la testata non indica quali.
3. Chi teme di essere un bersaglio (per il proprio lavoro o ruolo, come giornalisti, attivisti o funzionari) può attivare la Modalità di isolamento da Impostazioni > Privacy e sicurezza. Apple la descrive come una protezione estrema pensata per pochissime persone: blocca alcune tecnologie web complesse, quindi certi siti possono funzionare peggio.
4. Chrome su Android: aprite il Play Store, toccate l’icona del profilo, poi Gestisci app e dispositivo, e aggiornate Chrome se compare tra gli aggiornamenti disponibili. La versione installata si legge in Chrome, dal menu Altro > Impostazioni > Informazioni su Chrome.
5. Sistema Android: da Impostazioni > Sistema > Aggiornamenti software verificate la presenza di aggiornamenti; in Impostazioni > Informazioni sullo smartphone > Versione di Android trovate la data dell’Aggiornamento della sicurezza Android. Google avverte che i tempi degli aggiornamenti variano in base a dispositivo, produttore e operatore; sui telefoni non Pixel le voci possono essere diverse.

Altre campagne e aggiornamenti recenti di Apple sono raccolti in https://hardwarfare.it/ai-software/apple-os/ios-27-2-aggiornamento-sicurezza-falle/ e nella sezione https://hardwarfare.it/category/sicurezza-informatica/vulnerabilita-patch/.

La nostra lettura

La notizia non è l’uso di falle sconosciute, ma il contrario: un gruppo statale con risorse importanti ha costruito un’operazione articolata usando solo vulnerabilità corrette da mesi, perché sa che una parte dei telefoni resta indietro. Il caso DarkSword, un kit usato da più gruppi, lo conferma: il punto debole è l’aggiornamento rimandato o il telefono abbandonato dal produttore. Per chi usa uno smartphone per lavoro la regola resta semplice: aggiornamenti automatici attivi, e un telefono che non ne riceve più va sostituito. Le altre analisi su attacchi di questo tipo sono in https://hardwarfare.it/category/sicurezza-informatica/attacchi-data-breach/.

Articolo redatto con il supporto di strumenti di intelligenza artificiale e verificato dalla redazione. Come usiamo l'AI · Come lavoriamo