Hackers conseguem roubar dados de usuários Apple usando falha corrigida em 2024

Hackers estão explorando uma falha corrigida pela Apple para roubar cookies e dados de usuários. Descubra quais dispositivos estão em risco e como se proteger.

Uma vulnerabilidade de segurança que a Apple corrigiu em 2024 voltou a chamar a atenção de especialistas em cibersegurança. A falha está sendo explorada por criminosos para invadir dispositivos desatualizados e roubar informações pessoais, incluindo cookies de autenticação utilizados para acessar contas e serviços online.

O alerta ganhou importância depois que a Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) incluiu a vulnerabilidade em seu catálogo de falhas conhecidamente exploradas por hackers. A decisão ocorreu após pesquisadores identificarem atividades criminosas que utilizam brechas já corrigidas em sistemas da Apple e do Google.

A investigação foi divulgada pela empresa de segurança cibernética Sekoia e aponta para uma campanha sofisticada de espionagem digital, possivelmente conduzida pelo grupo APT29, associado ao serviço de inteligência estrangeira da Rússia.

Um dos aspectos mais preocupantes é que determinados ataques podem começar simplesmente quando a vítima acessa uma página contaminada pelo código malicioso. Dependendo da versão do sistema e das vulnerabilidades presentes no dispositivo, não é necessário clicar em links suspeitos, baixar arquivos ou instalar aplicativos para iniciar a exploração.

O episódio reforça a importância de manter iPhones, iPads e computadores Mac atualizados, mesmo quando as vulnerabilidades exploradas parecem antigas.

Qual é a falha de segurança explorada pelos hackers?

A vulnerabilidade identificada pelos pesquisadores é a CVE-2024-27834. Ela afeta diferentes sistemas operacionais da Apple e está relacionada a uma falha no mecanismo de autenticação de ponteiros, conhecido como Pointer Authentication.

Essa tecnologia funciona como uma camada adicional de proteção dos dispositivos com processadores compatíveis, dificultando a manipulação de endereços utilizados pelo código durante a execução de programas.

Em determinadas circunstâncias, a vulnerabilidade permite que um invasor que já tenha capacidade de leitura e escrita arbitrária na memória contorne essa proteção.

Na prática, isso pode facilitar a execução de códigos maliciosos e abrir caminho para outras etapas de um ataque.

A falha recebeu correção da Apple em maio de 2024, por meio de atualizações distribuídas para diferentes plataformas.

Entre as versões que receberam os ajustes estão:

• iOS 16.7.8 e iOS 17.5;
• iPadOS 16.7.8 e iPadOS 17.5;
• macOS Sonoma 14.5;
• Safari 17.5;
• tvOS 17.5;
• watchOS 10.5.

Portanto, o problema não representa uma vulnerabilidade inédita. O risco está principalmente nos dispositivos que continuam utilizando versões antigas e não receberam as correções de segurança.

A inclusão da CVE-2024-27834 no catálogo da CISA demonstra que uma falha antiga ainda pode representar uma ameaça real quando permanece presente em equipamentos utilizados por pessoas e organizações.

Como os hackers conseguem invadir os dispositivos Apple?

Segundo a investigação da Sekoia, os criminosos utilizaram diferentes estratégias para distribuir códigos maliciosos.

Uma delas é conhecida como watering hole, técnica na qual os invasores comprometem sites legítimos que costumam ser visitados por determinados grupos de usuários.

Em vez de enviar mensagens falsas diretamente às vítimas, os criminosos contaminam páginas que já possuem tráfego legítimo. Dessa maneira, conseguem alcançar pessoas que talvez não desconfiem da origem do conteúdo.

Os pesquisadores também identificaram páginas falsas que imitavam sites conhecidos e redirecionavam os visitantes para uma infraestrutura controlada pelos invasores.

Outro caminho envolveu o comprometimento do Plerdy SEO Tracker, uma ferramenta de análise utilizada por diversos sites.

O incidente ocorreu entre 27 de agosto e 3 de setembro de 2026. Durante esse período, um código malicioso foi inserido no rastreador, fazendo com que páginas que utilizavam o serviço pudessem carregar scripts controlados pelos criminosos.

O problema é que o visitante não precisa necessariamente perceber qualquer alteração na página.

Quando alguém acessa um site comprometido utilizando um dispositivo vulnerável, o código JavaScript malicioso pode identificar informações sobre o sistema operacional e o navegador.

Com base nesses dados, o servidor dos invasores seleciona uma sequência de exploração compatível com o dispositivo.

Esse mecanismo permite direcionar ataques específicos para diferentes configurações, aumentando as chances de sucesso.

Roubo de cookies pode permitir acesso às contas das vítimas

Um dos principais objetivos da campanha é roubar cookies de sessão armazenados pelo navegador.

Esses pequenos arquivos são utilizados por sites e serviços online para manter usuários autenticados depois que eles realizam o login.

Por exemplo, quando alguém acessa um serviço de e-mail, uma rede social ou uma plataforma corporativa, o navegador pode armazenar informações que permitem reconhecer aquela sessão nas visitas seguintes.

Se um criminoso consegue obter determinados cookies válidos, pode tentar reutilizá-los para acessar serviços como se fosse o próprio usuário.

Isso é particularmente preocupante porque, dependendo do serviço e das proteções implementadas, o invasor pode aproveitar uma sessão já autenticada sem precisar conhecer a senha original.

Em algumas situações, esse tipo de ataque também pode contornar a proteção oferecida pela autenticação em duas etapas (2FA), pois o criminoso tenta reutilizar uma sessão que já passou pelo processo de autenticação.

É importante destacar que o roubo de cookies não significa automaticamente que todas as contas da vítima foram comprometidas. O resultado depende da validade dos arquivos, das proteções do serviço e das informações efetivamente obtidas pelos invasores.

Mesmo assim, a possibilidade de assumir sessões autenticadas torna esse tipo de ataque especialmente perigoso.

Grupo APT29 é apontado como possível responsável pelos ataques

A investigação da Sekoia atribui a campanha, com confiança moderada a alta, ao APT29, também conhecido como Cozy Bear e Midnight Blizzard.

O grupo é associado ao Serviço de Inteligência Estrangeira da Rússia (SVR) e já foi relacionado a operações de espionagem digital contra governos, empresas e organizações estratégicas.

Os pesquisadores identificaram semelhanças entre a infraestrutura utilizada na campanha recente e ferramentas associadas a operações anteriores do grupo.

A análise também encontrou características técnicas semelhantes às de uma estrutura de ataque utilizada em 2024 contra sites governamentais da Mongólia.

Embora as evidências apontem para uma possível ligação com o APT29, a atribuição não deve ser tratada como uma confirmação absoluta da identidade dos responsáveis.

A sofisticação da operação chama a atenção porque os criminosos combinaram diferentes vulnerabilidades e estratégias de distribuição para atingir dispositivos específicos.

Além disso, o uso de sites legítimos comprometidos dificulta a identificação dos ataques por usuários comuns. Afinal, visitar uma página conhecida não significa necessariamente que todo o conteúdo carregado por ela seja confiável.

CISA inclui vulnerabilidade da Apple na lista de ameaças ativas

A CISA adicionou a CVE-2024-27834 ao catálogo Known Exploited Vulnerabilities (KEV), que reúne vulnerabilidades com evidências de exploração real por criminosos.

A inclusão funciona como um alerta para organizações e administradores de sistemas, indicando que a falha não deve ser tratada apenas como um problema teórico.

A agência estabeleceu o dia 18 de novembro de 2026 como prazo para que órgãos civis do governo federal dos Estados Unidos implementem as correções necessárias.

Embora esse prazo seja direcionado às agências governamentais americanas, a recomendação também serve como um alerta para empresas e usuários domésticos.

Uma vulnerabilidade corrigida há mais de dois anos ainda pode ser explorada quando dispositivos permanecem sem manutenção adequada.

Esse cenário demonstra por que instalar atualizações de segurança não é apenas uma questão de receber novos recursos ou mudanças visuais. Muitas vezes, uma atualização aparentemente pequena é responsável por impedir ataques que poderiam comprometer informações pessoais.

Como proteger seu iPhone, iPad e Mac?

A principal recomendação é verificar se os dispositivos Apple estão utilizando versões atualizadas dos respectivos sistemas operacionais.

Como a vulnerabilidade CVE-2024-27834 recebeu correções em maio de 2024, aparelhos que instalaram as atualizações correspondentes não estão expostos a essa falha específica.

Entretanto, é importante manter o sistema atualizado também contra outras vulnerabilidades que possam ser utilizadas em conjunto.

Veja algumas medidas importantes:

1. Atualize o sistema operacional

No iPhone e no iPad, acesse Ajustes, entre em Geral e selecione Atualização de Software. Verifique se existe alguma versão disponível e instale as atualizações recomendadas.

No Mac, utilize os Ajustes do Sistema para verificar as atualizações do macOS.

2. Mantenha o Safari atualizado

O navegador também recebe correções de segurança importantes. Como parte dos ataques utiliza vulnerabilidades relacionadas ao WebKit, manter o Safari atualizado é fundamental.

3. Evite utilizar versões antigas do sistema

Aparelhos que permanecem durante muito tempo sem receber atualizações podem acumular vulnerabilidades conhecidas e se tornar alvos mais fáceis.

4. Utilize autenticação em duas etapas

Mesmo que essa proteção não impeça todos os ataques envolvendo cookies de sessão, ela continua sendo uma camada importante de segurança para contas online.

5. Verifique atividades suspeitas nas contas

Caso exista suspeita de comprometimento, revise os acessos recentes, encerre sessões desconhecidas, altere senhas potencialmente expostas e verifique as opções de recuperação das contas.

Também é recomendável entrar em contato com o suporte dos serviços afetados quando houver indícios de acesso não autorizado.

Dispositivos atualizados estão protegidos contra essa campanha?

De acordo com a investigação da Sekoia, os ataques analisados utilizam vulnerabilidades para as quais já existem correções disponibilizadas pelos fabricantes.

Isso significa que manter o sistema operacional atualizado é uma das maneiras mais eficazes de impedir a exploração das falhas identificadas nessa campanha.

Entretanto, estar atualizado não representa proteção absoluta contra todas as ameaças digitais. Novas vulnerabilidades continuam sendo descobertas, e criminosos podem utilizar outros métodos para tentar comprometer dispositivos.

Também é importante entender que instalar uma atualização depois de um possível ataque não reverte automaticamente um roubo de informações que já aconteceu.

Se houver suspeita de comprometimento, é necessário avaliar também as contas utilizadas no aparelho e as sessões que possam ter sido expostas.

Conclusão

O retorno da exploração de uma vulnerabilidade corrigida pela Apple em 2024 mostra como dispositivos desatualizados continuam representando um risco para a segurança digital.

A campanha identificada pela Sekoia é particularmente preocupante porque utiliza sites legítimos comprometidos, páginas falsas e scripts maliciosos para alcançar usuários sem depender necessariamente de interações adicionais.

O roubo de cookies de autenticação pode permitir que criminosos acessem serviços online utilizando sessões já autenticadas, criando riscos para informações pessoais e profissionais.

A inclusão da CVE-2024-27834 na lista de vulnerabilidades exploradas da CISA reforça a gravidade da situação.

Para os usuários de iPhone, iPad e Mac, a principal recomendação é simples: mantenha os dispositivos atualizados e não ignore as notificações de segurança.

Uma atualização pode parecer apenas mais uma tarefa de manutenção, mas pode ser justamente o que impede que informações pessoais acabem nas mãos de criminosos.