CISA podrobně upozorňuje na vznikající mobilní spyware

9. prosince 2025 | Blog

Aktivní útoky na aplikace pro zasílání zpráv

Jedno Agentura pro zabezpečení kybernetické bezpečnosti a infrastruktury (CISA) nedávno vydala naléhavé varování, které by mělo zastavit každou organizaci. Několik skupin hrozby aktivně nasazují komerční spyware cílící na oblíbené aplikace pro zasílání zpráv na zařízeních iOS a Android. Jejich cíl je jasný: krást soukromé konverzace, sledovat pohyb a extrahovat citlivá data přímo z mobilních zařízení.

Ačkoli se nedávné kampaně zaměřovaly na vysoce hodnotné cíle v SAE, včetně novinářů, disidentů a vládních pracovníků, tato hrozba nezůstane pod kontrolou. Organizace po celém světě s duševním vlastnictvím, finančními daty nebo kritickou infrastrukturou jsou přímo v hledáčku.

Reference: Zprávy serveru CyberScoop potvrzují aktivní zneužívání zaměřené na obyvatele SAE.

Co dělá tento spyware tak nebezpečným

Na rozdíl od konvenčního malwaru, který antivirový software dokáže snadno odhalit, je tento spyware sofistikovaný, nenápadný a laserově zaměřený na aplikace pro zasílání zpráv, tedy platformy, kde se odehrává moderní podnikání:

Projednávají se firemní schválení
Citlivé soubory jsou sdíleny
Pověření si předávají spoluhráči
Vedoucí pracovníci komunikují neformálně
Zobrazí se kódy a hesla MFA

Firmy podnikají prostřednictvím Slacku, WhatsAppu, Signalu, Telegramu, Messengeru, WeChatu a SMS. Pokud tyto kanály narušíte, narušíte celou organizaci.

Schopnosti, které by vás měly znepokojovat

Podle CISA může tento spyware:

Zachyťte vše: Textové zprávy, hlasové hovory, fotografie a chaty se soubory
Sledujte v reálném čase: Snímky obrazovky zařízení, údaje o poloze a přístup k živému mikrofonu
Ukradnout metadata: Kompletní seznamy kontaktů a informace o zařízení
Detekce úniku: Obejít běžné ovládací prvky sandboxu a tiše setrvat
Vyžaduje minimální interakci: Mnoho variant funguje s funkcí téměř nulového kliknutí

Jedná se o komerční technologii sledování navrženou pro vytrvalost a nenápadnost.

Jak dochází k infekcím spywarem

CISA identifikuje několik běžných vektorů infekce:

Falešné aktualizace aplikací vytlačeno mimo oficiální obchody s aplikacemi
Škodlivé soubory APK distribuováno mimo obchody s aplikacemi pro Android a Apple
Textové zprávy obsahující škodlivé odkazy
Zneužívání správy mobilních zařízení (MDM)
Zneužití při jízdě kolem v zastaralých mobilních prohlížečích
Zneužití s nulovým kliknutím které zneužívají zranitelnosti při analýze aplikací pro zasílání zpráv

Kritický bod: Ne vždy je nutné „kliknout na pochybný odkaz“, abyste se nakazili. Většina instalací však stále vyžaduje, aby si uživatelé nainstalovali aplikace z jiných zdrojů než z oficiálních obchodů Androidu a Apple, což je varovný signál, který by měli bezpečnostní vyškolení lidé okamžitě rozpoznat.

Problém? Většina zaměstnanců těmto rizikům nerozumí, a proto je vzdělávání, komunikace a školení nezbytné.

Proč jsou aplikace pro zasílání zpráv hlavními cíli

Aplikace pro zasílání zpráv se staly ultimátním útočným povrchem, protože:

Vždy spuštěno a synchronizováno
Průběžné ukládání konverzací
Plné citlivého obchodního obsahu
Základ moderní pracovní komunikace
Často špatně řízené („prostě používejte jakoukoli aplikaci, kterou chcete“)

Mobilní zařízení jsou nyní primárními koncovými body, přesto většina společností stále považuje mobilní zabezpečení za volitelné.

Jak se organizace chrání před spywarem

1. Vynucování zásad správy zařízení

BYOD (Přineste si vlastní zařízení) bez kontrol je způsob, jakým spyware vítězí.

Implementujte stupňovitý systém:

Zaměstnanci s vysokým rizikem získání plně spravovaných zařízení vlastněných společností
Všichni ostatní zaměstnanci musí být minimálně zaregistrován v MDM

2. Modernizujte školení v oblasti bezpečnostního povědomí

Vzdělávání se musí vyvíjet nad rámec pravidla „neklikejte na podezřelé odkazy“. Školit zaměstnance, aby:

Nikdy neinstalujte aplikace z jiných zdrojů než z Obchodu Google Play nebo Apple App Store
Rozpoznat a nahlásit podezřelé výzvy k aktualizaci
Identifikovat a eskalovat neobvyklé chování zařízení okamžitě

3. Stanovení a prosazování zásad pro aplikace pro zasílání zpráv

Rozhodněte, které aplikace pro zasílání zpráv jsou schváleny pro firemní použití, a poté zablokujte vše ostatní pomocí:

Filtrování DNS
Omezení MDM
Pravidla podmíněného přístupu
Omezení zásad správy a řízení nalezená ve vašich Zásadách přijatelného užívání

Měj na paměti: Nemůžeš chránit to, co nemáš pod kontrolou.

4. Aktualizace nebudou vyjednávatelné

Spyware často zneužívá neopravené zranitelnosti operačního systému. „Aktualizovat nyní“ by se mělo stát organizační politikou, nikoli doporučením. Alespoň jednou týdně restartujte všechny systémy včetně pracovních stanic a mobilních zařízení, abyste zajistili instalaci oprav a vymazání systémové paměti.

5. Implementujte segmentaci přístupu na základě rolí

I když je zařízení napadeno, útočníci by neměli získat přístup k e-mailu, CRM, cloudovému úložišti a finančním systémům. Principy nulové důvěry platí i pro mobilní zařízení.

Násobitel ochrany: Nasaďte správce hesel s jedinečnými hesly a klíči FIDO (Fast Identity Online), abyste zabránili eskalaci přihlašovacích údajů po narušení bezpečnosti jediného zařízení.

6. Nasazení mobilní obrany před hrozbami (MTD)

Pokud zaměstnanci používají aplikace pro zasílání zpráv k jakýmkoli obchodním účelům, MTD už není volitelné. Představte si to jako detekci a reakci na koncové body (EDR) pro mobilní zařízení – základní bezpečnostní infrastrukturu.

Reakce na podezření na spyware

Pokud máte podezření, že je zařízení napadeno, postupujte podle tohoto protokolu:

Okamžitě izolujte: Povolit režim v letadle s vypnutou Wi-Fi a Bluetooth
Zachovat důkazy: Neotírejte zařízení, pokud vám to nedoporučí bezpečnostní profesionál – otírání ničí forenzní důkazy.
Potvrzení infekce: Použijte MTD nebo forenzní nástroje k ověření přítomnosti spywaru
Otočit přihlašovací údaje: Změňte všechna hesla a ověřovací tokeny používané v zařízení
Vhodně eskalovat: Informovat právní oddělení a vedení, pokud uživatel zpracovává citlivé údaje
Nahradit nebo znovu vytvořit obraz: Pokud se infekce potvrdí, vyměňte zařízení nebo proveďte kompletní vymazání systému.

důležité: Mobilní spyware je navržen tak, aby byl trvalý. Pouhé odinstalování aplikace jej neodstraní.

Širší obraz: Mobilní zařízení jako primární vektor útoku

Výstraha CISA podtrhuje zásadní skutečnost: Mobilní zařízení jsou nyní cílenými vstupními body do firemního prostředí.

Spyware je levný, efektivní, nenápadný a speciálně navržený tak, aby cílil na aplikace, na kterých jsou firmy nejvíce závislé. Pokud se vaše bezpečnostní strategie stále zaměřuje na notebooky, firewally a skenování e-mailů, už teď zaostáváte.

Mobilní zabezpečení není volitelná infrastruktura, je základem Nulová důvěra bezpečnost ve světě, který je primárně zaměřen na vzdálenost.

Konečná Takeaway

Varování CISA je přímé a zprávy CyberScoopu ho potvrzují: spyware zaměřený na aplikace pro zasílání zpráv není teoretický. Je aktivní, šíří se a je efektivní.

Zatímco se nedávné útoky zaměřily na vysoce postavené osoby v SAE, je jen otázkou času, než se podobné kampaně zaměří na firmy po celém světě. Organizace, které neposílí své mobilní zabezpečení, zjistí, že to za ně budou dělat útočníci, a to na základě podmínek útočníků.

Je čas jednat.