Η Whatsapp είπε την Παρασκευή ότι καθόρισε ένα σφάλμα ασφαλείας στις εφαρμογές iOS και MAC που χρησιμοποιήθηκαν για να χτυπήσουν κρυφά στις συσκευές Apple των “συγκεκριμένων στοχευμένων χρηστών”.
Ο μετα-ιδιοκτησιακός γίγαντας της εφαρμογής μηνυμάτων δήλωσε στο συμβουλευτικό της για την ασφάλεια ότι καθόρισε την ευπάθεια, γνωστή Επισήμως ως CVE-2025-55177το οποίο χρησιμοποιήθηκε παράλληλα με ένα ξεχωριστό ελάττωμα που βρέθηκε σε iOS και Macs, τα οποία η Apple καθόρισε την περασμένη εβδομάδα και παρακολουθεί ως CVE-2025-43300.
Η Apple είπε τότε ότι το ελάττωμα χρησιμοποιήθηκε σε μια “εξαιρετικά εξελιγμένη επίθεση εναντίον συγκεκριμένων στοχευμένων ατόμων”. Τώρα γνωρίζουμε ότι δεκάδες χρήστες του WhatsApp είχαν στοχεύσει με αυτό το ζευγάρι ελαττωμάτων.
Ο Donncha Ó Cearbhaill, ο οποίος είναι επικεφαλής εργαστηρίου ασφαλείας της Διεθνούς Αμνηστίας, περιέγραψε την επίθεση σε μια ανάρτηση στο x Ως “προηγμένη καμπάνια spyware” που στοχεύει τους χρήστες τις τελευταίες 90 ημέρες ή από τα τέλη Μαΐου. Ó Cearbhaill περιέγραψε το ζευγάρι σφάλματα ως επίθεση “μηδενικού κλικ”, που σημαίνει ότι δεν απαιτεί καμία αλληλεπίδραση από το θύμα, όπως το κλικ σε σύνδεσμο, για να συμβιβαστεί η συσκευή τους.
Τα δύο σφάλματα που είναι αλυσοδεμένα, επιτρέπουν σε έναν εισβολέα να παραδώσει μια κακόβουλη εκμετάλλευση μέσω του WhatsApp που είναι σε θέση να κλέψει δεδομένα από τη συσκευή Apple του χρήστη.
Per ó Cearbhaill, ο οποίος δημοσίευσε ένα αντίγραφο της ειδοποίησης απειλής ότι το WhatsApp που αποστέλλεται στους πληγέντες χρήστες, η επίθεση ήταν σε θέση να “θέσει σε κίνδυνο τη συσκευή σας και τα δεδομένα που περιέχει, συμπεριλαμβανομένων μηνυμάτων”.
Δεν είναι αμέσως σαφές ποιος, ή ποιος πωλητής spyware, βρίσκεται πίσω από τις επιθέσεις.
Όταν επιτεύχθηκε από την TechCrunch, ο εκπρόσωπος της Meta Margarita Franklin επιβεβαίωσε ότι η εταιρεία εντοπίστηκε και έβαλε το ελάττωμα “πριν από λίγες εβδομάδες” και ότι η εταιρεία έστειλε ειδοποιήσεις “λιγότερο από 200” σε επηρεασμένους χρήστες του WhatsApp.
Ο εκπρόσωπος δεν είπε, όταν ρωτήθηκε, εάν το Whatsapp έχει αποδείξεις για να αποδώσει τις αμυχές σε έναν συγκεκριμένο προμηθευτή εισβολέα ή επιτήρησης.
Δεν είναι η πρώτη φορά που οι χρήστες του WhatsApp έχουν στοχεύσει από το κυβερνητικό spyware, ένα είδος κακόβουλου λογισμικού που μπορεί να σπάσει σε πλήρως επιδιορθωμένες συσκευές με τρωτά σημεία που δεν είναι γνωστά στον πωλητή, γνωστές ως ελαττώματα μηδενικής ημέρας.
Τον Μάιο, ένα δικαστήριο των ΗΠΑ διέταξε τον κατασκευαστή Spyware NSO να πληρώσει το WhatsApp $ 167 εκατομμύρια ζημιές για μια εκστρατεία hacking του 2019 που έσπασε στις συσκευές περισσότερων από 1.400 χρηστών WhatsApp με εκμετάλλευση ικανό να φύτεψει το Pegasus Spyware του NSO. Το WhatsApp έφερε τη νομική υπόθεση εναντίον του NSO, επικαλούμενος παραβίαση των ομοσπονδιακών και κρατικών νόμων περί πειρατείας, καθώς και τους δικούς του όρους υπηρεσίας.
Νωρίτερα φέτος, η WhatsApp διέκοψε μια καμπάνια Spyware που στοχεύει περίπου 90 χρήστες, συμπεριλαμβανομένων των δημοσιογράφων και των μελών της κοινωνίας των πολιτών σε όλη την Ιταλία. Η ιταλική κυβέρνηση αρνήθηκε τη συμμετοχή της στην εκστρατεία κατασκοπείας. Το Paragon, του οποίου το spyware χρησιμοποιήθηκε στην εκστρατεία, αργότερα έκοψε την Ιταλία από τα εργαλεία hacking για να μην διερευνήσει την κατάχρηση.
Λάβατε μια ειδοποίηση ότι η συσκευή σας υποβλήθηκε σε κίνδυνο; Επικοινωνήστε με αυτόν τον δημοσιογράφο με ασφάλεια μέσω του ονόματος χρήστη zackwhittaker.1337 στο σήμα.
