Hacker Rusia Gunakan Serangan Zero-Click untuk Curi Data iPhone dan Android Melalui Website
Kelompok hacker yang diduga terkait dengan Rusia melancarkan serangan siber terhadap pengguna iPhone dan Android melalui website yang telah diretas serta situs palsu yang menyamar sebagai layanan resmi.
Menurut laporan perusahaan keamanan siber Sekoia pada 4 November 2026, kampanye tersebut memanfaatkan sejumlah kerentanan keamanan yang sudah diketahui atau n-day vulnerabilities untuk mencuri informasi sensitif tanpa memerlukan interaksi tambahan dari korban.
Serangan menggunakan teknik watering hole, yakni menyusupi website yang biasa dikunjungi target, kemudian menyebarkan kode berbahaya kepada pengunjungnya.
Sekoia mengaitkan operasi tersebut dengan kelompok APT29, yang juga dikenal sebagai Midnight Blizzard atau Cozy Bear, dengan tingkat keyakinan sedang hingga tinggi.
Kelompok ini secara luas dikaitkan dengan operasi spionase siber Rusia dan sebelumnya pernah menargetkan organisasi pemerintahan serta sektor strategis di berbagai negara.
Website Resmi dan Situs Palsu Jadi Jalur Serangan
Investigasi Sekoia menemukan bahwa penyerang menggunakan beberapa metode untuk menjangkau pengguna perangkat seluler.
Pertama, mereka menyusupkan kode JavaScript berbahaya ke website resmi yang telah dikompromikan.
Sejumlah target mencakup website perusahaan produksi gas Ukraina, asosiasi industri kimia Amerika Serikat, dan situs yang berkaitan dengan sektor militer Bulgaria.
Peneliti juga menemukan website palsu yang meniru portal resmi America250, program peringatan 250 tahun kemerdekaan Amerika Serikat, serta situs hotel mewah Raffles London at The OWO.
Situs palsu tersebut menggunakan teknik menyerupai Adversary-in-the-Middle (AiTM), dengan meneruskan konten dari website asli sambil menyisipkan kode berbahaya.
Dengan pendekatan ini, halaman yang dikunjungi korban terlihat seperti website resmi, meskipun sebagian kontennya telah dimodifikasi oleh penyerang.
Metode ketiga melibatkan kompromi layanan analitik website asal Ukraina bernama Plerdy.
Antara 27 Agustus hingga 3 September 2026, penyerang berhasil memodifikasi script SEO Tracker Plerdy yang digunakan oleh ribuan website, terutama di Ukraina.
Akibatnya, website yang menggunakan komponen tersebut berpotensi memuat kode berbahaya meskipun pemilik website tidak mengetahui adanya kompromi.
Serangan Zero-Click Menyesuaikan Sistem Operasi Korban
Ketika pengguna mengunjungi website yang telah disusupi, kode JavaScript terlebih dahulu mengidentifikasi informasi perangkat.
Script yang disebut UltimateFingerprinter mengumpulkan berbagai karakteristik browser dan sistem operasi untuk menentukan metode eksploitasi yang sesuai.
Informasi tersebut kemudian dikirim ke server penyerang, yang dapat mengembalikan rangkaian eksploitasi khusus untuk perangkat korban.
Sekoia mengidentifikasi tiga jalur serangan utama:
| Target | Kerentanan utama | Data yang ditargetkan |
|---|---|---|
| iOS 16.7 | CVE-2025-43529, CVE-2024-27834 | Cookie browser dan aplikasi |
| iOS 18.5 | Lima kerentanan, termasuk CVE-2026-20700 | Pesan, kredensial, foto, dan data perangkat |
| Chrome Android 139–145, kecuali 143 | CVE-2026-3910, CVE-2025-27038 | Cookie, data login, riwayat browsing, dan password Wi-Fi |
Serangan disebut zero-click karena setelah halaman berbahaya dimuat, eksploitasi dapat berlangsung tanpa korban harus mengunduh file, menekan tombol, atau memberikan izin tambahan.
Namun, istilah ini berbeda dari zero-day.
Seluruh kerentanan yang digunakan dalam kampanye tersebut telah mendapatkan patch sebelum serangan berlangsung. Penyerang secara khusus menargetkan perangkat yang belum memasang pembaruan keamanan.
iPhone Bisa Kehilangan Data WhatsApp, Telegram, dan Password
Pada perangkat iOS, Sekoia menemukan penggunaan rangkaian eksploitasi yang berkaitan dengan DarkSword, sebuah exploit kit yang sebelumnya digunakan dalam serangan terhadap iPhone.
Untuk perangkat dengan iOS 16.7, serangan terutama berfokus pada pencurian cookie.
Cookie sesi yang dicuri berpotensi memungkinkan penyerang menyalahgunakan sesi login yang masih aktif tanpa harus mengetahui password akun.
Sementara itu, serangan terhadap iOS 18.5 memiliki kemampuan lebih luas.
Setelah melewati pembatasan keamanan browser dan memperoleh akses lebih tinggi, malware dapat mengumpulkan data seperti pesan SMS dan iMessage, database WhatsApp dan Telegram, informasi Keychain, riwayat panggilan, kontak, serta data lokasi.
Foto, catatan, kalender, dan sejumlah informasi lain yang tersimpan pada perangkat juga termasuk dalam cakupan pengumpulan data.
Pada Android, penyerang menggunakan kombinasi kerentanan Chrome dan driver GPU Qualcomm Adreno untuk menjalankan malware pencuri informasi bernama AndroSnitch.
Malware tersebut menargetkan cookie Chrome, informasi login yang tersimpan, riwayat browsing, dan password jaringan Wi-Fi.
Sekoia menemukan bahwa serangan Android secara khusus menargetkan versi Chrome tertentu yang belum mendapatkan perbaikan keamanan.
APT29 Diduga Berada di Balik Operasi
Sekoia menghubungkan kampanye ini dengan APT29 berdasarkan kesamaan teknik serangan, infrastruktur, dan karakteristik target.
Peneliti juga menemukan kemiripan dengan operasi watering hole terhadap website pemerintahan Mongolia pada 2024, yang sebelumnya dikaitkan dengan APT29 oleh Google Threat Analysis Group.
Dalam kedua operasi tersebut, pencurian cookie menjadi salah satu tujuan penting.
Namun, Sekoia menegaskan bahwa atribusi kepada APT29 merupakan hasil analisis intelijen dengan tingkat keyakinan sedang hingga tinggi, bukan identifikasi yang telah dipastikan sepenuhnya.
Tim peneliti juga berkoordinasi dengan Computer Emergency Response Team (CERT) di negara-negara terdampak untuk membantu mengidentifikasi korban dan menghentikan infrastruktur serangan.
Update iOS dan Android Jadi Perlindungan Utama
Sekoia menyatakan bahwa seluruh rangkaian eksploitasi yang berhasil dianalisis bergantung pada kerentanan yang sudah diperbaiki Apple dan Google.
Karena itu, perangkat yang telah menggunakan pembaruan keamanan terbaru tidak rentan terhadap rangkaian eksploitasi spesifik yang ditemukan dalam kampanye ini.
Peneliti juga tidak menemukan mekanisme persistensi pada payload yang dianalisis. Artinya, restart perangkat dapat menghentikan aktivitas malware yang sedang berjalan.
Namun, restart tidak dapat mengembalikan data yang sudah dicuri atau membatalkan penyalahgunaan cookie sesi.
Pengguna iPhone dan Android disarankan segera memasang pembaruan sistem operasi dan browser, terutama pada perangkat yang sudah lama tidak diperbarui.
Jika terdapat indikasi perangkat telah dikompromikan, pengguna juga perlu mengakhiri sesi login aktif, mengganti kredensial penting, serta memeriksa aktivitas akun yang tidak dikenal melalui perangkat yang aman.
Kasus ini menunjukkan bahwa website tepercaya sekalipun dapat menjadi jalur serangan ketika kode pihak ketiga atau infrastruktur penyedia layanan berhasil disusupi.
Serangan terhadap iOS dan Android ini sekaligus menjadi pengingat bahwa kerentanan lama yang belum ditambal tetap dapat dimanfaatkan untuk pencurian data berskala luas, tanpa memerlukan eksploitasi zero-day baru.
Sumber: Sekoia — Poisoned Source: APT29 Watering Holes Target Mobile Devices with N-Day Exploits
