DarkSword — набор эксплойтов, который заражает iPhone через открытую страницу в браузере и за минуты вытягивает с телефона переписку, пароли, cookie и данные криптокошельков. Lookout называет его zero-click-набором: ничего скачивать и подтверждать не нужно, достаточно открыть страницу. Поэтому он опасен и для человека, который не переходит по незнакомым ссылкам: заражённой может оказаться обычная страница легитимного сайта.
Google Threat Intelligence Group и Lookout описали набор 18 марта 2026 года, и с тех пор вопрос стоит перед каждым владельцем iPhone, который не обновил iOS. Телефон хранит ровно то, что набор забирает: переписку, пароли, открытые сессии почты и банков, приложения бирж и кошельков. Узнать, под ударом ли ваш телефон, можно по версии iOS в настройках.
Как DarkSword заражает iPhone
Заражение начинается с открытия страницы в браузере. Пользователю не нужно скачивать файл, вводить данные или подтверждать запрос: набор срабатывает на странице, которую телефон просто загрузил, и цепочкой уязвимостей выбирается из браузера в систему.
Страницы, на которых это происходит, выглядят нормально. Lookout описывает заражённые легитимные сайты со скрытым iframe, среди примеров назван сайт суда и новостной ресурс, и адрес при этом остаётся настоящим. Google описывает и второй вариант, сайт-двойник под Snapchat, на который заманивали жертв. Пользователей Chrome на iPhone скрипт перенаправлял в Safari, и Google делает из этого вывод, что эксплойта для Chrome у атакующих нет.
Процесс короткий. Lookout оценивает время присутствия набора на устройстве минутами: данные собираются и отправляются за секунды, после чего созданные файлы удаляются. Google отдельно описывает очистку журналов сбоев, так что следов на телефоне остаётся мало. Набором пользовались несколько групп, а в конце марта 2026 года его код оказался в открытом доступе на GitHub, и теперь владельцем такого инструмента может стать любой, кто его скачает.
Что DarkSword забирает с телефона
Lookout и Google описывают набор одинаково: он забирает почти всё содержимое телефона. Переписка уходит вместе с историей, включая Telegram, WhatsApp и iMessage. С доступами тоже плохо: набор берёт историю и cookie Safari, сохранённые пароли, связку ключей и пароли от Wi-Fi. Заодно уходят фото, заметки, календарь, файлы iCloud Drive, история местоположений и список установленных приложений.
Отдельно в отчётах названы данные криптокошельков. Lookout перечисляет приложения бирж и кошельков, среди них Binance, Coinbase, MetaMask и Ledger.
Самое ценное в этом списке — cookie. Браузер хранит их, чтобы не просить вас входить снова, и сессия, которая уже прошла пароль и второй фактор, остаётся в cookie. Тот, кто унёс cookie, заходит в аккаунт без пароля и без нового кода. Recorded Future описывает это как обход многофакторной защиты, потому что код вводили один раз, в начале сессии. Двухфакторка защищает от подбора пароля и бессильна против кражи уже открытой сессии.
Чем грозит кража данных с телефона
Откройте свой телефон и посмотрите, что на нём есть: почта, мессенджеры с перепиской, открытые в Safari личные кабинеты банков и сервисов, сохранённые пароли, фотографии документов, приложение биржи или кошелёк. Всё это входит в список того, что забирает DarkSword.
Что происходит с аккаунтом после кражи сессии, показывают отчёты о других атаках. В июле 2026 года Mimecast описал кражу аккаунтов Meta Business Manager и Google Ads и связал её с фишингом и со стилерами DuckTail, NodeStealer, VietCredCare и PXA Stealer. После захвата злоумышленники добавляют своих администраторов, понижают владельца до ограниченной роли, поднимают лимиты расходов и подменяют платёжные методы, а рекламу запускают на средства владельца. К DarkSword эти атаки отношения не имеют, но механика та же: украденная сессия открывает доступ к деньгам владельца.
Отчёты Google и Lookout описывают, что набор забирает с телефона, а случаев кражи рекламных аккаунтов через него в них нет. Цена ошибки зависит от того, что открыто на телефоне: чем больше на нём доступов к деньгам и к чужим аккаунтам, тем она выше.
Какие версии iOS защищены от DarkSword
iOS 26.3 и все более поздние версии, включая iOS 27, закрыты от DarkSword: Google пишет, что все уязвимости цепочки исправлены в iOS 26.3, а Lookout называет эту версию безопасной для ветки 26. Исправления выходили по частям, в iOS 18.6, 18.7.2, 18.7.3 и в линейке 26, и последнюю уязвимость цепочки закрыла iOS 26.3.
Внутри iOS 18 Lookout называет безопасной сборку 18.7.3 и новее. Самый надёжный ориентир здесь последняя сборка: на 2 ноября 2026 года это iOS 18.7.11, она вышла 26 октября 2026 года.
Застряли на iOS 18 iPhone XS, XS Max, XR и iPad седьмого поколения: iOS 26 на них не ставится, и Apple выпускает для них отдельные сборки ветки 18. Для iPhone 11 и новее на 2 ноября 2026 года актуальна iOS 27.2, а тем, кто остаётся на iOS 26, нужна iOS 26.7.2. Обе версии вышли 26 октября 2026 года.
Что сделать, чтобы защитить iPhone
Защита строится на обновлениях. Осторожности пользователя для неё мало: Lookout пишет, что обучение распознаванию подозрительных ссылок против такой атаки неэффективно, потому что адрес заражённого сайта легитимный и пользователь не получает никакого сигнала.
Первым делом сверьте версию iOS с порогом: нужна iOS 26.3 или новее, а на моделях, которые остались на iOS 18, последняя сборка этой ветки. Телефон ниже порога обновите сегодня, прежде чем открывать на нём почту, банк и биржу. Это касается и запасных телефонов, которые лежат в ящике и иногда включаются.
Включите автоматические обновления. Если ставите исправления вручную, не откладывайте установку дольше чем на неделю после выхода.
Разведите роли устройств. Телефон, на котором читают чаты и открывают ссылки из рассылок и сообщений, не должен быть тем же телефоном, с которого подтверждают платежи и работают с биржей. Для денег подойдёт отдельное устройство без общих чатов и без свободного серфинга.
Если на телефоне лежат крупные суммы или доступы к чужим деньгам, включите Lockdown Mode: Apple пишет, что он защищает от этих атак даже на устаревших версиях iOS. Режим ограничивает часть функций браузера и вложений в сообщениях, поэтому остальным он не нужен.
Заранее решите, в каком порядке закрываете сессии и меняете пароли, если телефон оказался под подозрением. Запишите порядок там, где его можно открыть с другого устройства.
Если вы отвечаете за телефоны сотрудников, начните со списка устройств: у кого какой телефон, какая на нём iOS и какие рабочие сессии на нём открыты. Задайте минимальную версию и не допускайте к рабочим сессиям телефоны ниже неё. Срок на обновления удобнее закрепить через MDM: Apple поддерживает принудительную установку обновлений на управляемых устройствах.
Как проверить, что телефон защищён
Проверка занимает несколько минут. Откройте Настройки, Основные, Обновление ПО и сравните установленную версию с порогом: iOS 26.3 или новее, а на iOS 18 последняя сборка. В компании то же показывает отчёт по парку из MDM.
Затем пройдите по сессиям. В Telegram они лежат в Настройках, в разделе Устройства, а у почты, банков, бирж и платёжных сервисов есть свой список активных входов. Сессию с устройства, которое вы не узнаёте, или с телефона на старой версии закрывайте без обсуждений.
Что менять, зависит от того, где нашлось слабое звено. Если телефон тянет iOS 26.3 или новее, обновление закрывает вопрос за вечер. Если это XS, XS Max или XR на последней сборке iOS 18, DarkSword им уже не страшен, но денег и важных аккаунтов на таком телефоне держать не стоит: для этих моделей исправления выходят отдельными сборками, перенесёнными из новых версий, а iOS 18 остаётся для них последней. Если телефон не обновляется вообще, перестаньте открывать на нём почту, банк и биржу или замените его, а цену замены сравните с суммами на аккаунтах, к которым у него есть доступ.
Что делать, если iPhone работал на уязвимой версии
Исходите из худшего. После кражи набор удаляет созданные файлы и чистит журналы сбоев, поэтому тишина на телефоне ничего не доказывает, а надёжной самостоятельной проверки на заражение в отчётах Google и Lookout нет. Если телефон работал на iOS 18.4 или новее без исправлений и на нём открывали сайты, считайте сессии с него украденными.
Все действия делайте с чистого устройства, не с телефона под подозрением. Первым делом закройте сессии, начиная с тех, где есть деньги: банки, биржи, платёжные сервисы, рекламные кабинеты, почту и Telegram. Следом смените пароли и перевыпустите API-ключи и токены, которые хранились на телефоне или использовались с него.
Если seed-фраза или приватный ключ хоть раз лежали на телефоне, в заметках, фото или приложении кошелька, создайте новый кошелёк на чистом устройстве и переведите на него средства. На биржах отзовите API-ключи и проверьте, включён ли белый список адресов вывода: он ограничивает вывод заранее одобренными адресами.
Только после этого обновите телефон и верните его в работу либо замените. Затем просмотрите историю входов и операций за период, пока телефон был уязвим, и найдите действия, которых вы не совершали.
Что изменится в 2027 году
События 2026 года показывают, куда движется ситуация. В марте Google описал два набора эксплойтов для iPhone, Coruna и DarkSword, а код DarkSword оказался на GitHub в конце того же месяца. 26 октября Apple выпустила iOS 27.2, 26.7.2 и 18.7.11 и указала, что одна из исправленных уязвимостей связана с крайне сложной атакой на конкретных людей на версиях до iOS 27.
Из этого следует понятный план. 26 октября исправления вышли одновременно для трёх веток iOS, поэтому правило недели на установку работает для любого телефона: смотрите дату выхода сборки для вашей модели, а не только для последней версии iOS. Телефоны, застрявшие на iOS 18, закладывайте в бюджет замены на 2027 год, пока исправления для них ещё выходят.
Кражи рекламных аккаунтов Mimecast в июле 2026 года описывает как отдельный рынок, где украденные аккаунты перепродают и используют для рекламы за счёт владельца. Защита сессий остаётся задачей на весь 2027 год: привычка закрывать лишние сессии, подтверждение платежей на отдельном устройстве, выход из аккаунта на общих телефонах.
Начните с одного вечера: проверьте версию iOS на всех своих телефонах, в том числе запасных, и закройте сессии на тех, что не дотягивают до iOS 26.3 или последней сборки iOS 18. Отдельное устройство для денег и правило недели на обновления введите следом: они защищают от любой кражи сессий, не только от этого набора.
