APT29, siti trappola contro iPhone e Android non aggiornati

Hacker legati all'intelligence russa hanno usato siti web compromessi per attaccare iPhone e smartphone Android non aggiornati. Lo ha scoperto la società di sicurezza Sekoia, che in un rapporto pubblicato a inizio novembre 2026 ha attribuito la campagna, chiamata "Poisoned Source", al gruppo APT29 con un livello di confidenza da moderato ad alto. Le falle sfruttate sono già state corrette: chi ha il telefono aggiornato è al sicuro.

Come funzionava l'attacco

Si tratta di un attacco di tipo "watering hole": invece di inviare messaggi trappola, i criminali modificano siti che le vittime visitano già. Bastava aprire una pagina compromessa, senza toccare nulla: uno script analizzava il telefono e, in base al sistema, inviava la serie di exploit adatta.

Tra i siti coinvolti c'erano pagine in Ucraina, Stati Uniti, Repubblica Ceca e Bulgaria, oltre a copie false di siti noti. Per circa una settimana, dal 27 agosto al 3 settembre 2026, è stato manomesso anche Plerdy, un servizio ucraino di statistiche web caricato da migliaia di siti, in gran parte ucraini.

Quali telefoni erano a rischio

Gli attacchi colpivano iPhone con iOS 16.7 e iOS 18.5 e telefoni Android con le versioni di Chrome dalla 139 alla 145, esclusa la 143. Sugli iPhone con iOS 16.7 l'obiettivo erano i cookie del browser, cioè i dati che tengono aperte le sessioni sui siti; con iOS 18.5 gli aggressori potevano raggiungere gran parte dei dati del dispositivo. Su Android venivano rubati i cookie di Chrome e le password delle reti Wi-Fi salvate.

Nessuna delle falle era sconosciuta ai produttori: Apple e Google le avevano già corrette. Secondo Sekoia, i programmi usati non restavano installati sul telefono.

Cosa fare

La difesa principale è semplice: tieni aggiornati sistema operativo e browser. Su iPhone controlla in Impostazioni, Generali, Aggiornamento software; su Android verifica gli aggiornamenti di sistema nelle Impostazioni e aggiorna Chrome dal Play Store. Se il tuo telefono non riceve più aggiornamenti, valuta di sostituirlo, soprattutto se lo usi per banca e servizi pubblici.

Fonti: Sekoia, Security Affairs, Hardware Upgrade