A Apple corrige falhas de segurança do iPhone a cada atualização do iOS, e é por isso que um iPhone desatualizado é o alvo preferido de quem ataca. A iVerify, uma empresa de segurança móvel que vende proteção para iPhones de empresas e tem uma app gratuita, a iVerify Basic, acompanha há cerca de um mês o Coruna e o DarkSword, dois dos kits de exploração para iOS mais capazes que diz ter visto. Ferramentas deste nível, escreve a empresa, estavam até aqui reservadas a operações dirigidas a poucos alvos.
Numa investigação publicada a 21 de outubro de 2026, a iVerify e a Report URI mostram como anúncios infetados e etiquetas de análise abandonadas levam spyware ao iPhone de quem está apenas a navegar ou a percorrer uma rede social. Os investigadores dizem que são os primeiros casos observados destas táticas em ataques de spyware em massa, feitos por criminosos, e que a rede que encontraram está sobretudo em domínios europeus. Por isso, vê como funciona, o que roubam e o que deves fazer no teu iPhone.
Como funciona o ataque ao iPhone sem cliques
Foi a Report URI que descobriu a campanha, a que chamou DeadTag. O esquema é simples.
Primeiro os atacantes compram domínios expirados de antigos serviços de análise e de publicidade que milhares de sites continuam a carregar através de pequenas linhas de código, as chamadas etiquetas. Quem controla esses domínios controla o código que corre nesses sites.
A maior parte do tráfego desviado acaba em burlas, isto é VPN falsas, prémios falsos, casinos de criptomoedas. Só que as etiquetas também reconhecem quem chega a partir de um iPhone e servem-lhe o Coruna e o DarkSword. Segundo a Report URI, já foram identificados mais de 660 domínios expirados e registados de novo, presentes em milhares de sites que somam 135 milhões de visitas por mês. Qualquer uma dessas visitas pode receber o spyware, se o visitante cumprir as condições. Atenção: é tráfego exposto, não o número de iPhones infetados.
O grupo que comprava este tráfego também atacou sites diretamente: os investigadores encontraram o carregador do DarkSword em centenas de lojas online feitas na mesma plataforma, a PrestaShop, escondido numa pasta com nome de código de análise.
Que iPhones estão em risco
Segundo a Report URI, a página de ataque escolhe o kit consoante a versão do iOS de quem a abre:
| Kit | Versões do iOS atacadas |
|---|---|
| Coruna | iOS 13 a iOS 17.2.1 |
| DarkSword, variante P7 | iOS 18.4 a iOS 18.7 |
Na página de suporte sobre ataques na web a versões antigas do iOS, a Apple diz que os equipamentos com o software em dia não estiveram em risco nos ataques comunicados. Se tens a versão mais recente de qualquer iOS entre o 15 e o 26, já estás protegido. Se ainda estás no iOS 13 ou no iOS 14, tens de atualizar para o iOS 15 o quanto antes.
Nota bem, a Apple acrescenta que a Navegação segura do Safari, ligada por predefinição, bloqueia os domínios maliciosos identificados nestes ataques.
Um anúncio no Instagram bastou
A iVerify apanhou a variante P7 do DarkSword num anúncio malicioso na rede social Instagram, sobre o Mundial. A vítima, funcionário de uma empresa cliente, estava apenas a percorrer o feed. Momentos mais tarde voltou a ser atacado, desta vez ao clicar numa ligação maliciosa de outro grupo, com uma variante diferente do DarkSword.
Como recebeu alertas quase em tempo real, a equipa de segurança conseguiu trocar as credenciais roubadas antes de serem vendidas e usadas para entrar na rede da empresa. Os investigadores não sabem como os anúncios passaram pela verificação da Meta e admitem que qualquer plataforma com publicidade pode correr um risco semelhante.
O que o DarkSword e o Coruna roubam
As variantes analisadas foram unicamente concebidas para o furto de dados. Entre elas:
- palavras-passe e segredos guardados no Porta-chaves do iPhone;
- dados de carteiras de criptomoedas, incluindo Binance, Coinbase Wallet, OKX, Bitget, Trust Wallet, Exodus, TronLink e Bitpie;
- informação do dispositivo e da conta, enviada para o servidor dos atacantes.
Os dois kits recolhem também a localização, as mensagens e os contactos, que podem acabar à venda em fóruns criminosos. O objetivo parece ser o dinheiro. Os indícios apontam para um grupo de língua chinesa, dizem os investigadores, que sublinham que isso não é uma prova conclusiva.
O que deves fazer no teu iPhone
- Atualiza imediato o iOS. Os dois kits atacam versões antigas do sistema e, segundo a Apple e a iVerify, ter a versão mais recente é a melhor proteção. Abre as Definições, toca em Geral e depois em Atualização de software.
- Pondera o Modo de bloqueio se fores um alvo provável. Segundo a Apple, este modo também trava estes ataques, mesmo em versões desatualizadas, e a iVerify recomenda-o, por exemplo, a quem tem muito dinheiro em criptomoedas. Nas Definições, toca em Privacidade e segurança, desce até Modo de bloqueio, toca em Ativar o modo de bloqueio e confirma em Ativar e reiniciar. Fica o aviso da Apple: com este modo ligado, algumas apps, sites e funcionalidades ficam muito limitados.
- Se suspeitas de uma intrusão, a iVerify sugere que analises o telemóvel com a app da empresa, a iVerify Basic, que o reinicies, que mudes as palavras-passe guardadas no Porta-chaves e que passes as criptomoedas para uma carteira nova, com uma nova frase de recuperação.
A infraestrutura da DeadTag já tem espaço reservado para ataques ao iOS 26 e ao iOS 27. Até agora, porém, quase nenhuma das tentativas de adaptação que a iVerify viu funcionava.
Fica ainda mais conectado: