WhatsApp zero-click hiba: hogyan érinthetik meg célzott támadások iOS és macOS eszközeinket?

Frissítés: 2025.08.31 | Szerző: Olvasói techvilág

Bevezetőként gyorsan tegyünk rendet: a WhatsApp azzal került arcba, hogy egy biztonsági hiba miatt bizonyos célzott felhasználókat megtámadtak. A sebezhetőséget CVE-2025-55177 néven azonosítják, amelyet egy másik, az iOS és macOS rendszert érintő hiba egészített ki. A kettős támadás lényege: igazán kifinomult eszköztárral képesek voltak adatokat kinyerni az érintett készülékekből – és mindezt úgy, hogy az áldozat követte volna el semmittevést sem. Lehet, hogy most ez a hír elsőre távolinak tűnik, pedig a valóság az, hogy a célzott felhasználók száma és a támadások részletei egyre konkrétabbak.

Mi történt valójában? Röviden összefoglalva: a Meta által üzemeltetett WhatsApp biztonsági figyelmeztetést adott ki arról, hogy kijavították a sebezhetőséget, amelyet a CVE-2025-55177 kódnéven azonosítottak. Ez a hiba együtt járt egy másikkal, amelyet az Apple is felfedett és javított a közelmúltban, és amelyet a CVE-2025-43300 jelöl. A két hibát összefűve egy olyan támadási lánc jöhetett létre, amely a WhatsAppon keresztül érkezhetett, és amely akár a készülékre telepített rosszindulatú kód segítségével adatokat gyűjthetett be. Előfordult, hogy egyetlen érintett készülék sem kellett, hogy a felhasználó kattintson bármit is. Ez a fajta “zero-click” támadás annyit jelent, hogy a támadó gyakorlatilag a felhasználó beavatkozása nélkül, automatikusan hozzáférhetett a készülékhez és a rajta tárolt adatokhoz.

Erről a támadásról Donncha Ó Cearbhaill, az Amnesty International Security Labjának vezetője ezt mondta, miközben a X-en osztotta meg a legfrissebb információkat: az események körülbelül az elmúlt 90 napban, május vége óta zajló advanced spyware kampányt takarják. A duplaságot úgy írják le, mint egy „zero-click” támadást, vagyis olyan módszert, amelynek a felhasználó semmilyen interakciója nem szükséges a fertőzéshez. A támadó így juthatott hozzá a felhasználók üzeneteit és egyéb adataihoz. Ez nem csupán egy elméleti veszély, hanem konkrét, több tucat WhatsApp felhasználó ellen végzett támadás: a támadások célzottak és kifejezetten személyekre irányultak.

A cég képviselője, Margarita Franklin, a Meta szóvivője megerősítette a TechCrunch-nak, hogy a hiba létezett, de megjelent egy javítás néhány héttel ezelőtt, és kevesebb, mint 200 érintett WhatsApp-felhasználónak küldtek értesítést. A szóvivő nem nyilatkozott arról, hogy bizonyítékaik lennének-e egy konkrét támadó vagy megfigyelő vállalat azonosítására. Így hát egyelőre marad a találgatás: ki állhat a háttérben? Nem ez az első ilyen eset: korábban is történt már, hogy kormányzati szintű spyware-ekkel próbáltak meg belépni készülékekbe. A híerső fényében az is kiderült, hogy a támadások hátterében álló technológiák képesek voltak olyan súlyos biztonsági rések kihasználására, amelyeket az eszközök gyártói vagy a gyártók is csak később ismertek fel – ezt a jelenséget általában zero-day sebezhetőségeknek hívják.

Ki érinthető leginkább, és mit jelent ez a mindennapi felhasználó számára? Az elemzők szerint többnyire közterületi vagy civil szervezeteknél dolgozó, hírszolgálatokhoz vagy emberi jogi tevékenységekhez kapcsolódó személyeket érinthetett a támadás. A gyakorlatban ez azt jelenti, hogy nemcsak egy műszaknyit, hanem hosszabb időn keresztül voltak kitéve a kockázatnak: a támadók képesek lehettek a készülékekhez kapcsolódó adatok galerijáját megszerezni, beleértve a levelezést és üzenetforgalmat. A technikai részletek alapján egy összetett lánc jött létre, amely a WhatsAppon keresztül jutott el a rosszindulatú kódhoz, majd onnan a készülékre és annak adataihoz.

És mi a helyzet az Apple-t érintő résszel? Az Apple már a történet korai szakaszában közölte, hogy egy „rendkívül kifinomult támadás” áll a mögött, amelyet kifejezetten célzott felhasználók ellen alkalmaztak. A két hiba egymás után jött ki a frissítésekben: az egyik a WhatsApphoz kapcsolódik, a másik az iOS/macOS saját rendszerében található. A frissítések célja az volt, hogy a felhasználók készülékei megóvva legyenek az olyan támadásoktól, amelyek a végfelhasználói interakció hiányában kezdeményezhetik a fertőzést. Egy ilyen történet ugyanakkor rámutat arra, hogy a védelem soha nem lehet teljes: a sebezhetőségek felfedése és a gyors javítás fontos, de a támadók is egyre előrehaladottabb eszközöket és módszereket használnak.

Miért fontos mindez a felhasználók számára? Mert a támadások mögött álló technika már most is azt mutatja, hogy a biztonság nem csak szoftverfrissítés kérdése. A zero-click támadások különösen veszélyesek lehetnek olyan személyek esetében, akik munkájuk vagy tevékenységük miatt magas fokú figyelmet érdemelnek – például újságírók, civil aktivisták vagy jogvédő képviselők. A kiberbiztonság pedig itt nem csak technikai kérdés: gyakran együtt jár a jogi és etikai dimenziókkal is, hiszen a vállalatok és kormányzati szervek közötti feszültségek hatással lehetnek a személyes adatok védelmére és a véleményszabadságra.

A cikk szerint a támadók egy ismert és híressé vált hardware-szoftveres térben mozognak. Az NSO Group korábbi tevékenysége, amely a Pegasus nevű kémprogramot fejlesztette ki, 2019-ben olyan mérföldkő volt, amelyet a jogi színtéren is visszhangzott. Májusban egy amerikai bíróság arról döntött, hogy az NSO cégnek 167 millió dollárral meg kell térítenie a WhatsApp számára a korábbi kiberbiztonsági károkat. A kereset azokra a védelmi intézkedésekre is rávilágított, amelyeket a WhatsApp azért indított, hogy megakadályozza a platformon keresztüli spyware kampányokat. Ezzel párhuzamosan az olasz kormány tagadta részvételét a Paragon spyware-ügyben, amit később hírek szerint ki is vontak az olasz kapcsolatrendszerből.

Mit tehetünk mi, felhasználók? Először is fontos megérteni, hogy a széles körű védelem soha nem lehet garantált. A készülékek rendszeres frissítése, a gyártó által kiadott biztonsági patch-ek telepítése és a szolgáltatói visszajelzések figyelemmel kísérése alapvető védelmi lépések közé tartoznak. Még akkor is, ha egy zero-click támadást nem érhetünk el böngészés közben vagy linkek kattintásával, a telefon beszennyeződhet olyan komponensekkel, amelyek később adatszivárgáshoz vezethetnek. A felhasználók számára érdemes lehet a következőket megfontolni: rendszeresen ellenőrizni a készüléken telepített alkalmazásokat, a frissítéseket automatikusra állítani, és szükség esetén biztonságos módon értesítést küldeni a szolgáltatónak vagy a gyártónak, ha szokatlan viselkedést észlelünk. Továbbá érdemes megfontolni, hogy bizonyos adatvédelmi beállításokat finomhangolunk: például korlátozzuk az alkalmazások közötti adatmegosztást és rendszeresen ellenőrizzük a harmadik féltől származó alkalmazások engedélyeit.

A történet rámutatott egy fontos tényezőre: a jogi és intézményi kereteken belüli viták és döntések hogyan befolyásolják a kiberbiztonságot és a felhasználói biztonságot. A nemzetközi jogi érdekek és a vállalati felelősség a modern technológiai eszközök körül kialakuló konfliktusok középpontjába kerültek. A bírósági döntések, a kormányzati nyilatkozatok és a magánszféra védelmének egyensúlya mind hozzájárulnak ahhoz, hogy a felhasználók ténylegesen megértsék: a digitális világban a védelem nem csak technikai kérdés, hanem jogi és etikai kihívások összessége.

Érdekes összefüggés: a hírszerző és kiberbiztonsági körökben gyakran felmerül a kiberfenyegetés elleni védelemben a “tudás erő” elve. Minél többet tudunk arról, hogyan működnek ezek a támadások, annál jobban felkészülhetünk a védekezésre. Ugyanakkor a technikai részleteket csak a megfelelő szakértői környezetben érdemes megosztani: a féltve őrzött információs rendszerek képesek komoly károkat okozni, ha rossz kezekbe kerülnek. A nyilvános beszámolók azonban segítenek abban, hogy a felhasználók és a közösségek tudatosabban válasszanak védelmi stratégiákat – legyen az a mindennapi telefonhasználatban alkalmazott személyes szokások megváltoztatása, vagy a szolgáltatók közötti együttműködés erősítése.

Ha szeretnénk egy kicsit visszatekinteni egy korábbi példára, emlékezzünk csak az 2019-es párhuzamos támadásokra és a későbbi bírósági döntésekre, amelyek rávilágítottak: a spyware-ek nem csak technikai problémák, hanem társadalmi hatásokkal is rendelkeznek. A célzott támadások terjedése rávilágít arra, hogy a digitális eszközök védelmében közösségi és jogi eszközökre is szükség van. A vállalatoknak pedig folyamatosan törekedniük kell arra, hogy a felhasználók biztonságát a lehető legmagasabb szinten tartsák, még akkor is, ha a támadások egyre kifinomultabbak és személyre szabottabbak.

Végül hadd legyen szó arról, hogyan reagáljunk a hírekre a mindennapokban. Azt gondolom, hogy az ilyen történetek nem csak a szakembereknek szólnak. Ha értesítést kaptál arról, hogy a készülékedet érinthette egy támadás, érdemes lehet összekapcsolni a biztonsági jegyzeteket a gyártói útmutatókkal: telepítsd a legújabb patcheket, frissítsd az alkalmazásokat, és figyeld a készüléked viselkedését. A beszámolók alapján kevesebb, mint 200 érintett felhasználó kapott értesítést a WhatsApp a problémáról – érdemes vigyázni, mert egy ilyen hiba akkor is fennállhat, ha a felhasználó óvatos. Ha pedig úgy érzed, hogy valami nincs rendben a készülékeddel, ne félj felkeresni a szakértőt, és a közösség felé jelezni a tapasztalataidat.

Szerinted tényleg ez az irány mutatja a jövőt a kiberbiztonságban? Vajon a jogi és technológiai védőhálók közötti egyensúly hogyan alakul majd a következő években? Mit tehetnél ma, hogy a saját készülékedet biztonságosabbá tedd, és vajon megéri-e ezt a személyes biztonságért? Az biztos, hogy ezek a kérdések továbbra is relevánsak maradnak, és éppen ez adja az igazi muníciót ahhoz, hogy felelősségteljesen és tájékozottan vessünk számba minden lépést a digitális védelem útján.