Betrifft Sie das?
- Betroffen: jedes Unternehmen, dessen Mitarbeitende iPhones oder Android-Handys ohne das neueste Update nutzen – Firmenhandys und private Geräte mit dienstlicher Mail oder Chats.
- Außerdem: Unternehmen, deren Website Skripte von Drittanbietern lädt, etwa Analyse-Tracker; ein solcher Anbieter, Plerdy, wurde kompromittiert, und über sein Skript wurde der Angriffscode verteilt.
- Nicht betroffen, wenn: jedes Telefon, das mit Firmendaten arbeitet, das neueste angebotene Update hat und Android-Handys zusätzlich das neueste Chrome.
Was tun?
- Installieren Sie auf iPhones das neueste iOS-Update, das dem Gerät angeboten wird; aktualisieren Sie auf Android sowohl Chrome als auch das Betriebssystem. Apple hat die Schwachstellen auch in älteren iOS-Versionen behoben.
- Finden Sie die Telefone, die nicht auf dem aktuellen Stand sind: in der Geräteverwaltung oder durch Nachfrage bei den Mitarbeitenden.
- Für die genannten Schwachstellen sind die Korrekturen iOS 18.7.3 oder 26.2 (Dezember 2025), Chrome 146.0.7680.75 (März 2026) und ein Fix für den Qualcomm-Grafiktreiber (Juni 2025). Ältere Versionen hatten diese Schwachstellen noch.
- Ein Telefon, das mindestens seit Ende August (dem frühesten genannten Datum) veraltet war: Der Schadcode blieb nicht auf dem Gerät, und ein Neustart stoppt ihn bis zum nächsten Besuch einer infizierten Seite. Mit gestohlenen Sitzungs-Cookies kann ein Angreifer aber bestehende Anmeldungen weiter nutzen, etwa im Webmail. Aus unserer Sicht: Beenden Sie alle Sitzungen der dienstlichen Konten, die auf dem Gerät genutzt wurden, und ändern Sie die darauf gespeicherten Passwörter.
- Ihre Website, aus unserer Sicht: Verschaffen Sie sich einen Überblick, welche Drittanbieter-Skripte sie lädt, und entfernen Sie die, die Sie nicht mehr nutzen.
Was wir wissen – und was nicht
- Zu den gehackten Websites gehörten ein ukrainischer Gasproduzent, ein US-Branchenverband der chemischen Industrie, eine tschechische politische Bewegung und eine bulgarische Organisation mit Militärbezug; der SEO-Tracker von Plerdy wurde zwischen dem 27. August und dem 3. September verändert.
- Sekoia hat drei Ketten sichergestellt: iOS 16.7 (Cookies des Browsers und einiger Apps); iOS 18.5 mit dem Exploit-Kit DarkSword (Datenbanken von iMessage, WhatsApp und Telegram, Zugangsdaten aus der Keychain, Standort, Fotos); Android, eine Chrome-Schwachstelle (CVE-2026-3910) zusammen mit einer Schwachstelle im Adreno-Treiber (CVE-2025-27038); diese Kette sammelte Chrome-Cookies, Anmeldedaten, Verlauf und gespeicherte WLAN-Passwörter. CVE-2025-43529 wird mit DarkSword in Verbindung gebracht.
- Die CISA führt alle drei CVEs als ausgenutzt; sie hat sie zwischen Juni 2025 und März 2026 aufgenommen.
- Nicht bekannt: wie viele Menschen getroffen wurden. Die tschechische Bewegung wird nicht genannt. Sekoia arbeitet mit nationalen Incident-Response-Teams daran, Opfer zu identifizieren.
Warum das wichtig ist
Kein Link zum Anklicken, keine App außerhalb des Stores: Ein veraltetes Telefon und ein Besuch auf einer vertrauenswürdigen Seite genügten. Die Korrekturen gibt es; das Risiko ist das Telefon, das niemand aktualisiert hat.