DarkSword — набір експлойтів, який заражає iPhone через відкриту сторінку в браузері й за хвилини витягує з телефона листування, паролі, cookie та дані криптогаманців. Lookout називає його zero-click-набором: нічого завантажувати й підтверджувати не потрібно, достатньо відкрити сторінку. Тому він небезпечний і для людини, яка не переходить за незнайомими посиланнями: зараженою може виявитися звичайна сторінка легітимного сайту.
Google Threat Intelligence Group і Lookout описали набір 18 березня 2026 року, і відтоді питання стоїть перед кожним власником iPhone, який не оновив iOS. Телефон зберігає саме те, що набір забирає: листування, паролі, відкриті сесії пошти й банків, застосунки бірж і гаманців. Дізнатися, чи під ударом ваш телефон, можна за версією iOS у налаштуваннях.
Як DarkSword заражає iPhone
Зараження починається з відкриття сторінки в браузері. Користувачеві не потрібно завантажувати файл, вводити дані чи підтверджувати запит: набір спрацьовує на сторінці, яку телефон просто завантажив, і ланцюжком вразливостей виходить із браузера в систему.
Сторінки, на яких це відбувається, виглядають нормально. Lookout описує заражені легітимні сайти з прихованим iframe, серед прикладів названо сайт суду й новинний ресурс, і адреса при цьому залишається справжньою. Google описує й другий варіант, сайт-двійник під Snapchat, на який заманювали жертв. Користувачів Chrome на iPhone скрипт перенаправляв у Safari, і Google робить із цього висновок, що експлойта для Chrome в зловмисників немає.
Процес короткий. Lookout оцінює час присутності набору на пристрої хвилинами: дані збираються й надсилаються за секунди, після чого створені файли видаляються. Google окремо описує очищення журналів збоїв, тож слідів на телефоні лишається мало. Набором користувалися кілька груп, а наприкінці березня 2026 року його код опинився у відкритому доступі на GitHub, і тепер власником такого інструмента може стати будь-хто, хто його завантажить.
Що DarkSword забирає з телефона
Lookout і Google описують набір однаково: він забирає майже весь вміст телефона. Листування йде разом з історією, зокрема Telegram, WhatsApp та iMessage. З доступами теж погано: набір бере історію й cookie Safari, збережені паролі, зв’язку ключів і паролі від Wi-Fi. Заодно йдуть фото, нотатки, календар, файли iCloud Drive, історія місцезнаходжень і список установлених застосунків.
Окремо у звітах названо дані криптогаманців. Lookout перелічує застосунки бірж і гаманців, серед них Binance, Coinbase, MetaMask і Ledger.
Найцінніше в цьому списку — cookie. Браузер зберігає їх, щоб не просити вас входити знову, і сесія, яка вже пройшла пароль і другий фактор, залишається в cookie. Той, хто забрав cookie, заходить в акаунт без пароля й без нового коду. Recorded Future описує це як обхід багатофакторного захисту, бо код вводили один раз, на початку сесії. Двофакторна автентифікація захищає від підбору пароля й безсила проти крадіжки вже відкритої сесії.
Чим загрожує крадіжка даних з телефона
Відкрийте свій телефон і подивіться, що на ньому є: пошта, месенджери з листуванням, відкриті в Safari особисті кабінети банків і сервісів, збережені паролі, фотографії документів, застосунок біржі чи гаманець. Усе це входить до списку того, що забирає DarkSword.
Що відбувається з акаунтом після крадіжки сесії, показують звіти про інші атаки. У липні 2026 року Mimecast описав крадіжку акаунтів Meta Business Manager і Google Ads та пов’язав її з фішингом і зі стилерами DuckTail, NodeStealer, VietCredCare і PXA Stealer. Після захоплення зловмисники додають своїх адміністраторів, знижують власника до обмеженої ролі, піднімають ліміти витрат і підміняють платіжні методи, а рекламу запускають за кошти власника. До DarkSword ці атаки стосунку не мають, але механіка та сама: викрадена сесія відкриває доступ до грошей власника.
Звіти Google і Lookout описують, що набір забирає з телефона, а випадків крадіжки рекламних акаунтів через нього в них немає. Ціна помилки залежить від того, що відкрито на телефоні: чим більше на ньому доступів до грошей і до чужих акаунтів, тим вона вища.
Які версії iOS захищені від DarkSword
iOS 26.3 і всі пізніші версії, зокрема iOS 27, закриті від DarkSword: Google пише, що всі вразливості ланцюжка виправлено в iOS 26.3, а Lookout називає цю версію безпечною для гілки 26. Виправлення виходили частинами, в iOS 18.6, 18.7.2, 18.7.3 і в лінійці 26, а останню вразливість ланцюжка закрила iOS 26.3.
Усередині iOS 18 Lookout називає безпечною збірку 18.7.3 і новішу. Найнадійніший орієнтир тут — остання збірка: станом на 2 листопада 2026 року це iOS 18.7.11, вона вийшла 26 жовтня 2026 року.
На iOS 18 застрягли iPhone XS, XS Max, XR та iPad сьомого покоління: iOS 26 на них не встановлюється, і Apple випускає для них окремі збірки гілки 18. Для iPhone 11 і новіших моделей станом на 2 листопада 2026 року актуальна iOS 27.2, а тим, хто залишається на iOS 26, потрібна iOS 26.7.2. Обидві версії вийшли 26 жовтня 2026 року.
Що зробити, щоб захистити iPhone
Захист будується на оновленнях. Обережності користувача для нього замало: Lookout пише, що навчання розпізнавати підозрілі посилання проти такої атаки неефективне, бо адреса зараженого сайту легітимна й користувач не отримує жодного сигналу.
Насамперед звірте версію iOS із порогом: потрібна iOS 26.3 або новіша, а на моделях, які залишилися на iOS 18, — остання збірка цієї гілки. Телефон нижче порога оновіть сьогодні, перш ніж відкривати на ньому пошту, банк і біржу. Це стосується й запасних телефонів, які лежать у шухляді й іноді вмикаються.
Увімкніть автоматичні оновлення. Якщо встановлюєте виправлення вручну, не відкладайте встановлення довше ніж на тиждень після виходу.
Розведіть ролі пристроїв. Телефон, на якому читають чати й відкривають посилання з розсилок і повідомлень, не повинен бути тим самим телефоном, з якого підтверджують платежі й працюють із біржею. Для грошей згодиться окремий пристрій без спільних чатів і без вільного серфінгу.
Якщо на телефоні лежать великі суми або доступи до чужих грошей, увімкніть Lockdown Mode: Apple пише, що він захищає від цих атак навіть на застарілих версіях iOS. Режим обмежує частину функцій браузера й вкладень у повідомленнях, тому решті він не потрібен.
Заздалегідь вирішіть, у якому порядку закриваєте сесії й змінюєте паролі, якщо телефон опинився під підозрою. Запишіть порядок там, де його можна відкрити з іншого пристрою.
Якщо ви відповідаєте за телефони співробітників, почніть зі списку пристроїв: у кого який телефон, яка на ньому iOS і які робочі сесії на ньому відкриті. Задайте мінімальну версію й не допускайте до робочих сесій телефони нижче неї. Строк на оновлення зручніше закріпити через MDM: Apple підтримує примусове встановлення оновлень на керованих пристроях.
Як перевірити, що телефон захищений
Перевірка займає кілька хвилин. Відкрийте Параметри, Загальні, Оновлення ПЗ і порівняйте встановлену версію з порогом: iOS 26.3 або новіша, а на iOS 18 — остання збірка. У компанії те саме показує звіт про парк пристроїв із MDM.
Потім пройдіться по сесіях. У Telegram вони лежать у Налаштуваннях, у розділі Пристрої, а в пошти, банків, бірж і платіжних сервісів є свій список активних входів. Сесію з пристрою, якого ви не впізнаєте, або з телефона на старій версії закривайте без обговорень.
Що змінювати, залежить від того, де знайшлася слабка ланка. Якщо телефон тягне iOS 26.3 або новішу, оновлення закриває питання за вечір. Якщо це XS, XS Max або XR на останній збірці iOS 18, DarkSword їм уже не страшний, але грошей і важливих акаунтів на такому телефоні тримати не варто: для цих моделей виправлення виходять окремими збірками, перенесеними з новіших версій, а iOS 18 залишається для них останньою. Якщо телефон не оновлюється взагалі, перестаньте відкривати на ньому пошту, банк і біржу або замініть його, а ціну заміни порівняйте із сумами на акаунтах, до яких він має доступ.
Що робити, якщо iPhone працював на вразливій версії
Виходьте з гіршого. Після крадіжки набір видаляє створені файли й чистить журнали збоїв, тому тиша на телефоні нічого не доводить, а надійної самостійної перевірки на зараження у звітах Google і Lookout немає. Якщо телефон працював на iOS 18.4 або новішій без виправлень і на ньому відкривали сайти, вважайте сесії з нього викраденими.
Усі дії робіть із чистого пристрою, не з телефона, який під підозрою. Насамперед закрийте сесії, починаючи з тих, де є гроші: банки, біржі, платіжні сервіси, рекламні кабінети, пошту й Telegram. Далі змініть паролі й перевипустіть API-ключі та токени, які зберігалися на телефоні або використовувалися з нього.
Якщо seed-фраза чи приватний ключ бодай раз лежали на телефоні, в нотатках, фото чи застосунку гаманця, створіть новий гаманець на чистому пристрої й переведіть на нього кошти. На біржах відкличте API-ключі та перевірте, чи ввімкнено білий список адрес виведення: він обмежує виведення заздалегідь схваленими адресами.
Лише після цього оновіть телефон і поверніть його до роботи або замініть. Потім перегляньте історію входів і операцій за період, поки телефон був вразливий, і знайдіть дії, яких ви не вчиняли.
Що зміниться у 2027 році
Події 2026 року показують, куди рухається ситуація. У березні Google описав два набори експлойтів для iPhone, Coruna і DarkSword, а код DarkSword опинився на GitHub наприкінці того самого місяця. 26 жовтня Apple випустила iOS 27.2, 26.7.2 і 18.7.11 та зазначила, що одна з виправлених вразливостей пов’язана з вкрай складною атакою на конкретних людей на версіях до iOS 27.
З цього випливає зрозумілий план. 26 жовтня виправлення вийшли одночасно для трьох гілок iOS, тому правило тижня на встановлення працює для будь-якого телефона: дивіться дату виходу збірки для вашої моделі, а не лише для останньої версії iOS. Телефони, що застрягли на iOS 18, закладайте в бюджет заміни на 2027 рік, поки виправлення для них ще виходять.
Крадіжки рекламних акаунтів Mimecast у липні 2026 року описує як окремий ринок, де викрадені акаунти перепродають і використовують для реклами коштом власника. Захист сесій залишається завданням на весь 2027 рік: звичка закривати зайві сесії, підтвердження платежів на окремому пристрої, вихід з акаунта на спільних телефонах.
Почніть з одного вечора: перевірте версію iOS на всіх своїх телефонах, зокрема запасних, і закрийте сесії на тих, що не дотягують до iOS 26.3 чи останньої збірки iOS 18. Окремий пристрій для грошей і правило тижня на оновлення запровадьте слідом: вони захищають від будь-якої крадіжки сесій, а не лише від цього набору.
