Bastava aprire un sito per infettare iPhone e Android: ecco cosa è successo e come proteggersi

Aprire una pagina web sul telefono è un gesto automatico, che facciamo decine di volte al giorno senza pensarci. Eppure, secondo una ricerca della società francese di cybersicurezza Sekoia, tra agosto e settembre 2026 quella stessa azione è diventata una trappola. Una campagna informatica sofisticata ha preso di mira dispositivi iPhone e Android attraverso siti compromessi, senza richiedere clic su link sospetti, installazione di app o qualsiasi azione dell'utente oltre alla semplice navigazione.

Chi

Sekoia è una società francese specializzata in cybersicurezza e threat intelligence. Ha attribuito l'operazione, con un livello di fiducia "moderato-alto", ad APT29, noto anche come Midnight Blizzard o Cozy Bear, un gruppo di hacker collegato in diverse analisi al Servizio di intelligence estero russo (SVR). APT29 è uno dei gruppi più attivi nel panorama della spionaggio informatico globale, noto per operazioni mirate contro governi e istituzioni.

Cosa è successo

La campagna, denominata Poisoned Source, ha funzionato secondo uno schema sofisticato ma elegante. Gli aggressori hanno utilizzato tre canali di attacco:

• Siti legittimi compromessi, nei quali è stato inserito codice JavaScript malevolo
• Domini contraffatti che imitavano pagine affidabili (tra cui america250.org, legata alle celebrazioni per i 250 anni dell'indipendenza americana, e il sito del Raffles London at The OWO, hotel vicino al ministero della Difesa britannico)
• Compromissione di un servizio ucraino di analisi del traffico web (Plerdy SEO Tracker), il cui script è stato manomesso tra il 27 agosto e il 3 settembre 2026, raggiungendo migliaia di siti

Quando un utente visitava una pagina coinvolta, il codice raccoglieva informazioni sul modello del telefono e sulla versione del browser, poi mandava questi dati a un server controllato dagli aggressori. L'infrastruttura decideva quindi quale sequenza di vulnerabilità usare, scegliendo un percorso d'attacco differente per iPhone e Android. È una tecnica chiamata watering hole: invece di attaccare direttamente una persona, si prepara una trappola su un sito che quella persona potrebbe visitare.

L'attacco su iPhone

Sekoia ha individuato due catene d'exploit contro iPhone:

1. iOS 16.7: puntava soprattutto ai cookie di Safari, dati che in alcune circostanze consentono di riutilizzare sessioni già autenticate su servizi online
2. iOS 18.5: utilizzava un toolkit chiamato DarkSword, capace di estrarre SMS, iMessage, database di WhatsApp e Telegram, password del Portachiavi iCloud, contatti, cronologia delle chiamate, fotografie, note e altri contenuti conservati sul dispositivo

Secondo l'analisi di Sekoia, DarkSword potrebbe essere stato sviluppato da un fornitore commerciale di strumenti di sorveglianza, anche se la società non ha fatto nomi specifici.

L'attacco su Android

Per Android, la catena mirava a Chrome dalla versione 139 alla 145 (con esclusione della 143, un dettaglio che gli analisti ammettono di non saper ancora spiegare). Il codice malevolo sfruttava vulnerabilità del browser e del sistema per distribuire un componente chiamato AndroSnitch, progettato per sottrarre cookie, credenziali di accesso, cronologia di navigazione e password delle reti Wi-Fi salvate.

Gli analisti hanno osservato anche un controllo specifico: se il dispositivo era un Samsung Galaxy S25 Ultra, la procedura si interrompeva. Il motivo di questa scelta non è stato chiarito.

Perché è importante

A prima vista, questa notizia potrebbe sembrare allarmante: bastava aprire un sito per farsi rubare i dati personali. In realtà, il quadro è più sfumato, e contiene una lezione importante sulla sicurezza digitale.

Il dato centrale è questo: tutte le vulnerabilità sfruttate erano già state corrette da Apple e Google prima dell'inizio della campagna. Un dispositivo con sistema operativo e browser aggiornati non era vulnerabile. "Un utente con un sistema operativo aggiornato è al sicuro da questi attacchi", ha affermato Sekoia nel resoconto tecnico.

Questo significa che la campagna ha colpito specificamente chi non aveva installato gli aggiornamenti di sicurezza disponibili. È un messaggio che le aziende di cybersicurezza ripetono da anni, ma che raramente riceve l'attenzione che merita: gli aggiornamenti non sono fastidi da rimandare, sono scudi contro minacce reali e attive.

Il secondo aspetto rilevante è la natura temporanea dell'infezione. Il malware non restava installato in modo permanente: riavviare il telefono interrompeva l'attività malevola, almeno fino a una nuova visita a un sito compromesso. Questo non cancellava i dati già rubati, ma limitava la portata dell'attacco rispetto a un'infezione persistente.

Infine, l'operazione rivela come i gruppi di spionaggio statale stiano evolvendo le loro tecniche. Invece di mandare email di phishing a singoli individui, compromettono siti visitati da migliaia di persone, aumentando le probabilità di colpire i bersagli desiderati. Gli obiettivi includevano siti legati all'industria, al settore militare e al contesto della guerra in Ucraina, suggerendo che l'operazione era mirata a raccogliere intelligence piuttosto che a rubare dati bancari di massa.

Cosa aspettarsi

Secondo Sekoia, il numero esatto di iPhone e Android infettati non è stato comunicato, così come l'elenco completo dei Paesi coinvolti. La società ha dichiarato di essere al lavoro con i team nazionali di risposta agli incidenti informatici per individuare le vittime e disattivare l'infrastruttura usata dagli aggressori.

L'attribuzione ad APT29 si basa su elementi tecnici, infrastruttura, modalità operative e profilo degli obiettivi, ma rimane una pista ancora aperta e soggetta a conferme ulteriori.

Cosa fare subito:

• Aggiornare il dispositivo: su iPhone, vai in Impostazioni → Generali → Aggiornamento software; su Android, verifica gli aggiornamenti del sistema nelle Impostazioni e aggiorna anche Chrome tramite il Play Store
• Verificare gli accessi ai tuoi account: accedi ai tuoi servizi online (email, social, banca) da un dispositivo affidabile e revoca le sessioni sconosciute
• Cambiare le password: fallo da un computer, non dal telefono potenzialmente compromesso
• Attivare l'autenticazione a due fattori dove disponibile

La vulnerabilità specifica utilizzata in questa campagna è ormai chiusa per chi ha aggiornato il dispositivo. Ma la lezione più ampia rimane: in un ecosistema mobile dove bastava aprire una pagina web per esporre dati sensibili, gli aggiornamenti non sono opzionali. Sono la differenza tra essere protetti e essere esposti.