פרצת אבטחה חמורה התגלתה בוואטסאפ במכשירי אפל

וואטסאפ הודיעה ביום שישי כי תיקנה פרצת אבטחה באפליקציה שלה באייפון ובמק, אשר נוצלה כדי לפרוץ בשקט למכשירי אפל של "משתמשים ממוקדים ספציפיים".

וואטסאפ מסרה בהודעת אבטחה כי תיקנה את הפרצה, הידועה רשמית בשם CVE-2025-55177, שנוצלה יחד עם חולשה נפרדת ב-iOS וב-Mac, שאפל תיקנה בשבוע שעבר ומזוהה בשם CVE-2025-43300.

אפל מסרה באותו הזמן כי החולשה נוצלה ב"מתקפה מתוחכמת במיוחד נגד אנשים ספציפיים". כעת מתברר כי עשרות משתמשי וואטסאפ היו היעד למתקפה שכללה את שתי החולשות הללו.

דונצ'ה קיירבייל (donncha ó cearbhaill), ראש תחום האבטחה של אמנסטי אינטרנשיונל, תיאר את המתקפה בפוסט ב-X כ"קמפיין ריגול מתקדם" שכוון למשתמשים במהלך 90 הימים האחרונים - כלומר מאז סוף מאי. קיירבייל תיאר את צמד החולשות כמתקפת "zero-click", כלומר כזו שלא דורשת מהקורבן לבצע פעולה כלשהי כמו לחיצה על קישור כדי שהמכשיר ייפרץ.

השילוב בין שתי החולשות מאפשר לתוקף לשלוח דרך וואטסאפ מתקפה זדונית שיכולה לגנוב מידע ממכשיר אפל של המשתמש. לפי קיירבייל, שפרסם עותק מהתראה שנשלחה למשתמשים שנפגעו על ידי וואטסאפ, ההתקפה הצליחה "לפרוץ למכשיר ולמידע שבתוכו, כולל הודעות".

לא ברור בשלב זה מי עומד מאחורי המתקפות או איזו חברת ריגול מסחרית אחראית להן.

בתגובה, הדוברת של מטא, מרגריטה פרנקלין, אישרה שהחברה זיהתה ותיקנה את הבאג "לפני כמה שבועות" ושלחה "פחות מ-200" התראות למשתמשי ווטסאפ שנפגעו. הדוברת לא השיבה כשנשאלה אם יש בידי החברה ראיות המצביעות על תוקף מסוים או חברת ריגול מסחרית.

זאת לא הפעם הראשונה שמשתמשי וואטסאפ היו יעד לתקיפות רוגלה ממשלתית עם סוג של תוכנה זדונית שיכולה לחדור למכשירים מעודכנים לגמרי באמצעות חולשות שאינן ידועות ליצרן, כלומר חולשות "יום אפס".

בחודש מאי, בית משפט אמריקאי הורה לחברת NSO Group הישראלית לשלם לוואטסאפ פיצויים בסך 167 מיליון דולר בגין קמפיין פריצה מ-2019, שבו נפרצו יותר מ-1,400 מכשירים של משתמשי וואטסאפ בעזרת פרצת אבטחה שהחדירה את רוגלת Pegasus של NSO. וואטסאפ תבעה את NSO בטענה להפרת חוקי הסייבר הפדרליים וכן תנאי השימוש שלה.

השנה ווטאסאפ סיכלה קמפיין ריגול נוסף שכוון לכ-90 משתמשים, בהם עיתונאים ואקטיביסטים באיטליה. ממשלת איטליה הכחישה מעורבות בקמפיין. פאראגון, החברה הישראלית שסיפקה את הרוגלה בקמפיין, ניתקה בהמשך את איטליה מגישה לכלים שלה לאחר שלא חקרה את המקרה.

אם אתם רוצים להגן על עצמכם - אנחנו ממליצים להעביר את אפשרות עדכוני התוכנה והאפליקציות לאוטומטים, במידה שהם לא כך - לכו לעדכן גם את וואטסאפ וגם את ה-iOS.