La corsa ai preordini di iPhone Duo sta già attirando i cybercriminali. Malwarebytes ha individuato una campagna particolarmente insidiosa che utilizza un falso sito Apple per attirare gli utenti con un presunto voucher da 500 dollari, mentre in background tenta di sfruttare vulnerabilità presenti sugli iPhone con versioni di iOS non aggiornate. La notizia è stata riportata dal portale Digital Trends.
La differenza rispetto alle tradizionali truffe legate ai nuovi iPhone è sostanziale: non si punta soltanto a convincere l’utente a inserire carta di credito o password. Secondo l’analisi, il sito tenta di avviare una catena di exploit zero-click, cioè senza richiedere il download di un’app o un’ulteriore interazione da parte della vittima.
Un falso sito Apple con voucher da 500 dollari
La pagina riproduce in modo abbastanza credibile l’aspetto del sito ufficiale Apple, compreso il footer e altri elementi grafici. Ci sono però alcuni segnali che permettono di smascherarla: dimensioni dei dispositivi non corrette, colorazioni non annunciate e soprattutto un conto alla rovescia che riparte ogni volta che la pagina viene ricaricata.
L’offerta promette un voucher da 500 dollari, oltre ad AppleCare+, in cambio della compilazione di un modulo apparentemente destinato al preordine di iPhone Duo. Ma il form sarebbe soprattutto un diversivo.
L’attacco parte mentre l’utente guarda l’offerta
Secondo Malwarebytes, in background il sito utilizza un frame invisibile per controllare il browser e la versione software del dispositivo. L’obiettivo è individuare gli iPhone vulnerabili e indirizzare l’attacco verso Safari, tentando di eseguire la catena di exploit conosciuta come DarkSword.
È questo l’elemento che rende la campagna molto più pericolosa di un normale sito di phishing: su un dispositivo vulnerabile, la semplice apertura della pagina potrebbe essere sufficiente ad avviare il tentativo di compromissione.
Cosa può essere rubato
Se la catena di exploit riesce a superare le protezioni del dispositivo, il payload nascosto può cercare di accedere a una quantità molto ampia di informazioni.
Secondo l’analisi citata, tra i dati potenzialmente interessati figurano password memorizzate nel Portachiavi, contenuti di Apple Note, registro delle chiamate, contatti e fotografie.
La campagna punterebbe inoltre ai file associati ai wallet di criptovalute presenti in applicazioni come MetaMask e Coinbase Wallet. Il rischio, quindi, non riguarda soltanto credenziali e dati personali, ma potenzialmente anche asset finanziari digitali.
Perché vengono presi di mira soprattutto i vecchi iPhone
La campagna sfrutta una coincidenza tutt’altro che casuale. Chi sta valutando l’acquisto di un nuovo iPhone potrebbe utilizzare ancora un dispositivo meno recente e, soprattutto, potrebbe non averlo aggiornato da tempo. È esattamente il profilo che interessa agli attaccanti.
Le vulnerabilità utilizzate da DarkSword sono state corrette da Apple attraverso aggiornamenti di sicurezza. La stessa Apple specifica che le correzioni associate a questi exploit sono state distribuite a partire dal 2025 e successivamente estese anche a versioni di iOS dedicate ai dispositivi meno recenti. Support Apple
Aggiornare iOS è la prima difesa
La contromisura principale è quindi molto semplice: installare l’ultima versione di iOS disponibile per il proprio dispositivo. Apple continua a distribuire patch anche per generazioni precedenti del sistema operativo proprio per correggere vulnerabilità sfruttabili attraverso contenuti web malevoli. Per i dispositivi compatibili più recenti, Apple ha pubblicato a settembre anche iOS 26.7 con ulteriori correzioni di sicurezza. Support Apple
Il punto è importante: in una campagna di questo tipo non è sufficiente “non cliccare su pulsanti strani” una volta aperta la pagina. La difesa deve avvenire prima, mantenendo browser e sistema operativo aggiornati.
Meglio raggiungere direttamente Apple Store
La seconda regola riguarda i preordini. Per acquistare o prenotare un nuovo iPhone è preferibile digitare direttamente l’indirizzo dello store Apple o utilizzare l’app Apple Store, evitando link ricevuti attraverso email, messaggi, social network o inserzioni non verificate.
Le copie dei siti dei grandi marchi stanno diventando sempre più convincenti, e Malwarebytes ha documentato più volte campagne che imitano graficamente pagine legittime per indurre l’utente a fidarsi. Malwarebytes
Cosa fare se si è aperto il sito
Chi sospetta di aver visitato una pagina simile da un iPhone non aggiornato dovrebbe innanzitutto aggiornare immediatamente iOS. La raccomandazione riportata dai ricercatori comprende anche il riavvio del dispositivo e, nei casi in cui ci sia il sospetto concreto di compromissione, la modifica delle credenziali più importanti utilizzando un dispositivo considerato sicuro. Particolare attenzione va riservata ad account Apple, email, servizi finanziari e wallet di criptovalute.
La truffa si fa subdola
La parte più interessante di questa campagna è il cambio di livello rispetto alle classiche truffe legate al lancio di un nuovo iPhone. Normalmente il successo dipende dall’errore dell’utente: inserire una password, comunicare il numero della carta o scaricare un file. Qui, invece, l’offerta falsa serve soprattutto a portare la vittima sulla pagina giusta, mentre l’attacco vero avviene dietro le quinte. Ed è proprio questa combinazione tra social engineering ed exploit tecnico a rendere la minaccia più pericolosa.
L’hype attorno a iPhone Duo offre ai criminali un’esca ideale: un prodotto molto atteso, scarsità iniziale, promozioni apparentemente irripetibili e utenti pronti a muoversi rapidamente pur di acquistarlo. La regola resta quindi elementare ma sempre più importante: se un’offerta Apple sembra troppo vantaggiosa, non usare il link che la propone. E soprattutto, prima ancora di pensare al nuovo iPhone, aggiornare quello che si ha già.