Home-theater-designers
אפל אינה זרה לאירועי אבטחה, בין אם מדובר בפריצות, הפרות או פגיעויות. ייתכן שאינך מודע לבעיות השונות הללו, וייתכן שחלקן עדיין מסכנות אותך. אז, על אילו פריצות, הפרות ופגיעויות של אפל אתה צריך לדעת?
סרטון היום של MUO גלול כדי להמשיך עם התוכן
פריצות והפרות של אפל
אפל ראתה את חלקה ההוגן בפריצות לאורך השנים, כאשר חלקן היו חמורות יותר מאחרות. נתחיל בפריצה שהתרחשה לפני למעלה מעשור.
1. XCodeGhost Hack (2015)
בשנת 2015, 128 מיליון משתמשי אייפון הושפעו מפריצה מבוססת תוכנות זדוניות. האקרים השתמשו בגרסה זדונית של XCode, סביבת הפיתוח של אפל עבור כל מערכות ההפעלה שלה, כולל iOS. עם תוכנה זדונית זו, המכונה XCodeGhost, האקרים הצליחו להתפשר על כ-50 אפליקציות מ-Apple App Store. אלה שהורידו את האפליקציות המושפעות היו חשופים לפריצה, וכ-500 מיליון משתמשים היו בסיכון באותה עת.
למרות שההערכה האדירה הזו התבררה כמעט קטנה יותר במציאות, מסמכים שסופקו במהלך מאבק בית המשפט של אפל עם Epic Games חשפו כי 128 מיליון אנשים עדיין היו מושפעים, כולל 18 מיליון משתמשים בארה'ב (כפי שדווח על ידי ענייני ביטחון ).
חשבונות דוא"ל המשויכים למספר הטלפון
מה ששנוי במחלוקת במיוחד בתקרית הזו הוא שבאותה עת אפל החליטה לא להודיע למשתמשים בסיכון על המתקפה. לקח עוד שש שנים עד שהציבור הפך מודע לאופי האמיתי של הפריצה, שהתגלה במהלך המשפט המשפטי של אפל נגד Epic Games שהוזכר לעיל.
2. תוכנת ריגול של פגסוס (2016 ואילך)
תוכנת הריגול הידועה לשמצה של פגסוס הושקה לראשונה בשנת 2016 אך הגיעה לגדולה עולמית בשנת 2021 כאשר היא שימשה לניצול iOS בהתקפות ממוקדות במיוחד. Pegasus פותחה על ידי קבוצת NSO הישראלית, ארגון שנוי במחלוקת שעלה לכותרות חדשות האבטחה פעמים רבות בעבר. האקרים ממשלתיים משתמשים כעת בתוכנת הריגול הזו כדי לבצע פשעי סייבר משלהם, אז זה שם מוכר למומחי אבטחת סייבר. למעשה, קבוצת NSO מכרה את תוכנת הריגול שלה פגסוס לממשלות ומדינות רבות, כולל הודו ומקסיקו.
בניצול זה של אפל, נוצלה פגיעות של iOS כדי להפעיל תוכנות ריגול של Pegasus במכשירי iPhone. א הצהרה רשמית של אפל הסביר שתכונות כמו מצב נעילה יכול לשמש להגנה מפני התקפות כאלה, כמו גם סיסמאות חזקות ועדכוני תוכנה. כמו כן, הוכרז כי הודעות איומים ישמשו כדי להזהיר משתמשים שייתכן כי היו ממוקדים על ידי תוקפים בחסות המדינה.
עיין במדריך שלנו ל בדוק אם האייפון שלך נגוע בפגסוס אם אתה מודאג לגבי תוכנת הריגול הזו.
3. SolarWinds (2021)
ה התקפת SolarWinds זעזעה את תעשיות הטכנולוגיה והסייבר בשנת 2021, ואפל לא הצליחה להתחמק מגלי ההלם.
במהלך מתקפת SolarWinds, האקרים ניצלו פגיעות קוד אפס יום של iOS 14 כדי לחדור לאייפון. דרך הפגם, האקרים השתמשו בדומיינים זדוניים כדי להפנות משתמשי אייפון לאתרי דיוג. זה, בתורו, איפשר לתוקפים לגנוב אישורי כניסה של משתמשים, אשר לאחר מכן יכלו לשמש לפריצת חשבונות או למכור לשחקנים בלתי חוקיים אחרים בשווקים לא חוקיים.
4. אפל ומטא נתונים פרצת (2021)
תקרית האבטחה האחרונה של אפל התרחשה באמצע 2021 כאשר צוות אפל ו-Meta הונו על ידי האקרים שהתחזו לפקידי אכיפת החוק. במתקפה, האקרים פרצו תחילה את החשבונות והרשתות של רשויות אכיפת החוק ולאחר מכן שלחו בקשות מזויפות לנתונים דחופים לעובדים בשתי ענקיות הטכנולוגיה, ודחקו בתגובה מהירה. בתגובה לבקשה רשמית לכאורה זו, סופקו כתובות ה-IP, כתובות הבית ומספרי הקשר של המשתמשים.
חשוב לציין שצוות אפל ומטה לא סיפק מידע עקב בקשה אקראית. מערכות משטרה לגיטימיות נפרצו על ידי התוקפים על מנת לשלוח את הבקשה, מה שהקשה על הגילוי.
הפגיעויות של אפל
תוכנות השונות של אפל, כולל מערכות ההפעלה שלה, עלולות ליפול קורבן לפגיעויות קוד. אז, לאיזה אתה צריך להיות מודע?
1. פרצות ליבה ו-WebKit (2022)
באוגוסט 2022, אפל הודיעה כי מצאה פגיעות ליבה (הידועה רשמית בשם CVE-2022-32894 ) שאפשרה ביצוע של קוד שרירותי עם הרשאות ליבה. אפל תיקנה את CVE-2022-32894 עם macOS Monterey, כך שאם התקנת את העדכון הזה באופן ידני או שאתה משתמש בגירסת macOS חדשה יותר מ-Monterey, אתה אמור להיות מוכן.
יחד עם הפגיעות הזו, התגלה גם פגם ב-Apple WebKit. פגם זה גם הסתכן בביצוע קוד שרירותי כתוצאה מתוכן אינטרנט זדוני. כמו הפגיעות שהוזכרה לעיל, פגם ה-WebKit עבור macOS Monterey תוקן מזמן.
כיצד למחוק קובץ הנמצא בשימוש
2. פרצות Blastpass (2023)
בספטמבר 2023, התגלו שתי נקודות תורפה של אפל ביום אפס ששימשו תוקפים. הפגיעויות, הידועות רשמית בשם CVE-2023-41064 ו CVE-2023-41061 , בתוכנת ה-iOS שלה.
CVE-2023-41064 הייתה פגיעות של הצפת מאגר המאפשרת ביצוע קוד שרירותי ועלולה להשפיע על כל מכשירי האייפון מדגם 8 ואילך עם iOS גרסה 16.6 ומעלה. דגמי iPad מסוימים יכולים להיות ממוקדים גם באמצעות פגם זה. CVE-2023-41061, שהתגלה זמן קצר לאחר הראשון מבין שני הפגמים, היה בעיית אימות שניתן לנצל לרעה באמצעות קבצים מצורפים זדוניים.
בשימוש בו-זמנית, שתי הפגיעויות הללו יצרו שרשרת ניצול הידועה בשם Blastpass, והיוו חלק משרשרת המסירה של תוכנת הריגול Pegasus של קבוצת NSO, כפי שדווח על ידי מעבדת האזרח . Blastpass יכול לשמש לפריצת מכשירי אייפון ואייפד מבלי שהקורבן יצטרך אפילו לקיים אינטראקציה עם דפי אינטרנט זדוניים או תקשורת. אלה ידועים גם בשם פגיעויות אפס קליק .
עם זאת, באמצעות מצב הנעילה של אפל, ניתן לעצור את השרשרת על עקבותיה, ולחסום אותה מלהדביק את המכשיר שלך. יש גם תיקון זמין עבור שתי הפגיעויות המנוצלות.
3. פגיעויות בקרן (2023)
בתחילת 2023, התגלו שלוש נקודות תורפה של אפל ביום אפס שהעמידו מערכות הפעלה רבות של אפל בסיכון, כולל iOS, iPadOS ו-macOS. שתיים מהחולשות נמצאו במסגרת ה-Foundation של אפל, המספקת את רמת הפונקציונליות והאינטראקציה הבסיסית עבור אפליקציות אפל. שלוש נקודות התורפה הללו, הידועות בשם CVE-2023-23530 , CVE-2023-23531 , ו CVE-2023-23520 , נתן לתוקפים את היכולת להפעיל קוד זדוני מרחוק במכשירים נגועים.
בפברואר 2023, אפל תיקנה את שלושת ליקויי האבטחה, כך שלא כדאי להיחשף אליהם עוד אם עדכנת את מכשיר אפל באופן קבוע.
אפל אינה אטומה לפריצות ופגיעויות
התוכנה והחומרה של אפל מאובטחות ביותר, אך אתה עדיין יכול להיתקל בסיכונים והתקפות סייבר כמשתמש אפל. בין אם אתה משתמש בטלפון, בטאבלט, במחשב או בשעון של אפל, לעולם אל תניח שאתה אטום לבעיות אבטחה. תמיד עדיף להתעדכן בפרצות, הפריצות והפרצות האחרונות של אפל כדי שתוכל להגן על עצמך טוב יותר ולהתכונן לתקריות עתידיות.