Apple sendte spionvarevarsler til 110 land – dette betyr advarselen

Et Apple-trusselvarsel er en vurdering med høy sikkerhet om at selskapet mener mottakeren kan ha blitt spesielt målrettet av en svært avansert og ressurssterk spionasjeoperasjon – muligvis på grunn av hvem personen er eller hva vedkommende arbeider med. Apple beskriver slike angrep som langt mer sofistikerte enn vanlig nettkriminalitet. De retter seg mot et svært lite antall bestemte personer og enheter.

Et slikt varsel bør derfor tas på alvor og håndteres raskt. Personer som arbeider med journalistikk, aktivisme, politikk, diplomati, menneskerettigheter eller sensitive undersøkelser, kan være særlig utsatt. Samtidig understreker Apple at de aller fleste aldri vil bli målrettet av angrep av denne typen.

Hva beviser ikke varselet?

Et varsel er ikke en offentlig teknisk rapport. Det beviser ikke nødvendigvis at enheten faktisk er infisert, og det identifiserer heller ikke spionvaren, operatøren, en eventuell statlig kunde eller hvor angrepet kom fra.

Apple sier at selskapets metoder aldri kan gi absolutt sikkerhet. Selskapet offentliggjør heller ikke bevisene bak hvert enkelt varsel, fordi det kan gjøre det lettere for spionvareoperatører å tilpasse metodene sine. Derfor omtaler Apple meldingene som varsler med høy sikkerhet – ikke som endelig identifikasjon av hvem som står bak.

Dette skillet er viktig når slike saker omtales offentlig. Et varsel kan være et svært verdifullt spor, men en bekreftet infeksjon krever vanligvis ytterligere teknisk analyse. At Apple ikke har sendt et varsel, betyr heller ikke at en person med sikkerhet ikke har blitt målrettet.

Dette bør mottakere gjøre

Apple anbefaler en rask og praktisk respons:

1. Kontroller varselet direkte. Skriv inn account.apple.com selv og logg inn. Ikke bruk lenker fra meldinger som kan være phishing.
2. Oppdater alle enheter. Installer de nyeste tilgjengelige programvareoppdateringene på iPhone, iPad, Mac og andre Apple-enheter som er knyttet til kontoen.
3. Sikre Apple-kontoen. Bruk et unikt passord og aktiver tofaktorautentisering.
4. Beskytt tilgangen til enheten. Bruk en sterk skjermkode og biometrisk innlogging der det er mulig. Aktiver også Beskyttelse ved stjålet enhet.
5. Aktiver Låst modus. Apple anbefaler denne valgfrie, svært restriktive modusen spesielt for personer som har mottatt et trusselvarsel, eller som ellers har forhøyet risiko. Modusen reduserer angrepsflaten ved å begrense enkelte apper, nettsteder og funksjoner.
6. Be om spesialisert hjelp. Apple viser blant annet til Access Nows døgnåpne hjelpelinje for digital sikkerhet.

Ekte Apple-trusselvarsler ber ikke om passord eller bekreftelseskoder. De ber heller ikke brukeren om å installere programvare, profiler eller filer.

Derfor er varslene viktige for forskere

Leiesoldatspionvare er laget for å være vanskelig å oppdage. Et varsel fra Apple kan gi et mulig offer et sjeldent utgangspunkt for å sikre enheten, få den undersøkt rettsmedisinsk og sammenligne hendelsen med andre saker.

Når enkelthendelser ses i sammenheng, kan forskere oppdage mønstre som ellers ville vært usynlige: gjentatt målretting, sammenfallende datoer, felles tekniske kjennetegn og forbindelser mellom personer i politiske, journalistiske eller sivilsamfunnsbaserte nettverk. Undersøkelser har dokumentert målretting med spionvare i Polen og andre europeiske land, samtidig som forskere har advart mot å peke ut en bestemt operatør uten tilstrekkelige bevis.

En nyere undersøkelse fra Citizen Lab viser hvorfor kombinasjonen av Apple-varsler og teknisk analyse kan være viktig. Forskerne konkluderte med høy sikkerhet at den tidligere EU-parlamentarikeren Stelios Kouloglou ble infisert med Pegasus flere ganger mens han satt i komiteen som undersøkte misbruk av spionvare. Rapporten sier også at han mottok flere trusselvarsler fra Apple.

Den større lærdommen er at varsler kan bidra til å gjøre et mistenkt enkeltangrep til dokumentasjon på en bredere overvåkingskampanje. De gir likevel ikke en fullstendig oversikt over alle ofre, og de fastslår ikke alene hvem som bestilte eller gjennomførte en operasjon.

Kort fortalt

Apples kampanje 13. august viser hvor internasjonalt og fortsatt aktivt selskapets system for varsler om leiesoldatspionvare er: Brukere i 110 land mottok meldinger, og Apple sier at programmet siden 2021 har nådd over 150 land.

For den enkelte mottakeren er den riktige tolkningen alvorlig, men presis: Apple mener personen sannsynligvis er blitt plukket ut som mål av en svært kapabel angriper. Selve varselet bekrefter imidlertid ikke en vellykket infeksjon og identifiserer ikke angriperen. Kontroller meldingen, oppdater enhetene, styrk kontosikkerheten, aktiver Låst modus og søk hjelp fra eksperter.