Специалисты по информационной безопасности нашли две критические уязвимости в приложении Apple «Почта». Через него злоумышленники могут получить контроль над iPhone и другими устройствами на системе iOS, всего лишь отправив электронное письмо. Хакеры используют эту уязвимость как минимум с 2018 года. За полгода существования версия iOS 13 получила несколько патчей безопасности. Один из них исправляет закрытие фоновых приложений, другой убирает повышенный расход энергии без видимых причин, третий запрещает отслеживание вашего местоположения, которое работало, несмотря на запрет в настройках. Новые уязвимости оказались ещё более серьёзными.

Приложение «Почта» предустановлено на iPhone и iPad. Специалисты по безопасности из группы ZecOps обнаружили, что несколько высокопоставленных людей были целями хакеров с января 2018 года. Одним из них был один из руководителей японской телекоммуникационной компании, другим европейский журналист. Были представители компаний из списка Fortune 500.

В отличие от большинства других атак на основе электронной почты, когда пользователь должен перейти по ссылке, здесь достаточно только открыть приложение «Почта» и отобразить вредоносное письмо. Больше ничего делать не нужно.

В этих атаках нашли сходство с другими, которые проводят спонсируемые разными государствами группировки хакеров. Уязвимости существуют ещё с версии iOS 6 2012 года выпуска.

Обычные пользователи могут заметить разве что небольшую задержку в работе приложения «Почта» или письма без содержимого, как показано на изображении. Изредка приложение падает при попытке попасть в почтовый ящик.

ZacOps поставила Apple в известность в феврале, но пока есть только бета-версия обновления iOS 13.4.5. Желающие могут пользоваться сторонними почтовыми клиентами, вроде Outlook и Gmail. Отключить приложение «Почта» можно в разделе Настройки > Пароли и аккаунты, нажав на переключатель «Почта» под каждым вашим аккаунтом электронной почты.