Смартфон можна хакнути, навіть якщо жертва не натискала ніякі лінки.
Шпигунське ПЗ zero-click (нульовий клік) отримує повний контроль над девайсом навіть без активної участі користувача.
Чергову скандальну історію на цю тему оприлюднило британське видання The Guardian.
Такий тип елітного шкідливого ПЗ називається zero-click (нульовий клік) і воно отримує повний контроль над девайсом навіть без активної участі користувача – достатньо лише отримати переданий файл.
У даному випадку месенджер WhatsApp виявив, що принаймні 90 користувачів були уражені шкідливим софтом Graphite, який розробила ізраїльська компанія Paragon. Компанію, між іншим, заснував колишній прем’єр-міністр Ізраїлю Ехуд Барак.
Graphite був відправлений користувачам групових чатів у вигляді pdf-файлу, і їхні пристрої тепер вважаються скомпрометованими. А це означає, що, з великою вірогідність, ці девайси знаходяться під повним (!) контролем сторонніх осіб, у тому числі можуть легко читатися усі «безпечні месенджери», пошта, слухатися дзвінки, визначатися геопозиція, включатися камера — і все інше, що може робити легальний власник. Також можна читати секретні звіти про бойову роботу ЗСУ у «захищених військових додатках», так.
Graphite є розробкою того ж класу, що і сумновідомий Pegasus виробництва ізраїльської ж компанії NSO Group.
WhatsApp не називає жертв Графіта і з яких вони країн, але наразі вже відомо про італійського журналіста-розслідувача Франческо Канчеллато (Francesco Cancellato).
При цьому сама компанія розробник Graphite заявляє, що не співпрацює з недемократичними країнами. І навіть не з усіма демократичними співпрацює. Наприклад, не продає свій шпигунський софт країнами, яких раніше звинувачували у зловживаннях таким типом електронного стеження: Греція, Польща, Угорщина, Мексика, Індія.
Американська приватна компанія AE Industrial Partners мала намір купити Paragon за 90 мільйонів доларів, але цю угоду поки не схвалив уряд Ізраїлю.
Чи означає все це, що месенджер WhatsApp небезпечний?
Не означає. Виробники супер-шпигунського софту можуть адаптувати його під особливості будь-якого месенджера. WhatsApp можна навіть похвалити за те, що вони оприлюднили цю історію та здійняли величезний світовий скандал.
Чи означає ця історія, що кожен користувач WhatsApp, Signal чи Threema знаходиться під загрозою? Так, і давно вже. Хоча далеко не всі користувачі.
Справа у тому, що шпигунський софт коштує настільки дорого, що дозволити собі його можуть дуже багаті спецслужби вельми небідних країн.
А у 2021 році Predator пропонувався компанією-розробником Intellexa одразу за 13,6 мільйонів євро — за 20 інфікувань. Тобто ще тоді вартість зараження одного смартфону (причому не гарантованого!) коштувало від $65 тисяч до $680 тисяч.
А зараз ціни явно ще вищі. Чи настільки ти важливий, щоб стільки на тебе витрачати? Ну, залежить наскільки ти “цікавий” для влади певної країни.
Не думаю, що українським (а тим більше росіянським) спецслужбам доступні найсучасніші розробки типу Graphite. Але у Світі повно і менш відомого і дешевшого spyware (шпигунське ПЗ). Яке розповсюджується значно менш захищеними месенджерами (типу Телеграма).
Тому для абсолютної більшості користувачів достатньо знати та застосовувати на практиці відомі практики кібер-самозахисту: «не тицяй каку», 2FA/MFA, TOR/VPN, користування для конфіденційного спілкування «шифрованими» месенджерами, регулярно оновлювати операційну систему та додатки, налаштувати захист особистих девайсів, вміти перевіряти сайти на безпечність і все таке інше, про що я розказую на моєму курсу «Особистий кіберзахист».
А ось коли хтось стане настільки «значимим», що виникатиме ризик застосування проти нього/неї спеціального шпигунського софту – тоді до цих практик додаються дуже специфічні «додаткові заходи». Які виходять далеко за межі бюджету пересічного користувача, із задіянням високо-рівневих фахівців з адекватним сприйняттям «ролі кібербезпеки». Бо здуру можна витратити купу грошей на «фуфломіцин». Але то зовсім інша історія.
P.S.: До речі, WhatsApp майже одразу закрив вразливості, які експлуатував Графіт. Тому хто не оновився – сам винуватий.
