Apple отказалась выплатить «Лаборатории Касперского» $1 млн за найденную «дыру» в iPhone

Apple отказалась выплатить «Лаборатории Касперского» вознаграждение за обнаруженные в 2023 году уязвимости в iOS, которые позволяли злоумышленниками внедрить шпионский модуль на любой iPhone. Размер вознаграждения за информацию о такого рода уязвимостях, согласно программе Apple Security Bounty, должен был составлять около $1 млн

<p class="p1"><b>Как стало известно RTVI, Apple отказалась выплатить «Лаборатории Касперского» вознаграждение за обнаруженные в 2023 году уязвимости в iOS, которые позволяли злоумышленниками внедрить шпионский модуль на любой iPhone. Размер вознаграждения за информацию о такого рода уязвимостях, согласно программе Apple Security Bounty, может составлять до $1 млн, однако Apple отказалась перечислить их как в адрес «Лаборатории Касперского», так и на благотворительность.

</b></p> <p class="p1">«Мы нашли zero-day, zero-click уязвимости, передали всю информацию Apple, сделали полезное дело. По сути своей, мы зарепортили им уязвимость, за которую они должны заплатить bug bounty (<em>награду за обнаруженную уязвимость — RTVI</em>). Нам это вознаграждение не нужно, но есть практика такие выплаты от больших компаний передавать на благотворительность. Apple отказала нам в выплате, даже в пользу благотворительной организации, сославшись на внутреннюю политику, без объяснения. Учитывая, сколько информации мы им предоставили и насколько проактивно это сделали — непонятно, почему они приняли такое решение», — рассказал RTVI Дмитрий Галов, руководитель российского исследовательского центра «Лаборатории Касперского».</p> <p class="p1">В начале июня 2023 года ФСБ <a href="http://fsb.ru/fsb/press/message/single.htm!id=10439739@fsbMessage.html">заявила</a> об обнаружении «разведывательной акции американских спецслужб, проведенной с использованием мобильных устройств фирмы Apple». Ведомство заявило, что заражению подверглись несколько тысяч iPhone как в России, так и за рубежом, в частности, аппараты сотрудников посольств и диппредставительств разных стран. </p> <p class="p1">В тот же день «Лаборатория Касперского <a href="https://www.kaspersky.ru/blog/triangulation-attack-on-ios/35467/">опубликовала</a> большой отчет об обнаружении «самой изощренной кибератаки» на iOS, целью которой было незаметное внедрение шпионских модулей в iPhone. Злоумышленники, используя найденные «Лабораторией Касперского» уязвимости в iOS, могли заразить любой iPhone — его владельцу даже не требовалось ни на что нажимать. На iPhone пострадавших пользователей просто приходило сообщение iMessage со специальным вложением, содержащим эксплойт. Без какого-либо взаимодействия с пользователем, эксплойт из сообщения запускал выполнение вредоносного кода.</p> <p class="p1">Эта кампания получила название «Операция Триангуляция» (Operation Triangulation), в «Лаборатории Касперского» заявили, что шпионские модули были обнаружены на iPhone сотрудников компании — как топ-менеджмента, так и руководителей среднего звена.</p> <p class="p1">«Целью той атаки была шпионаж. Сбор любой информации с устройств: геолокация, камеры, микрофоны, файлы, контакты. В общем, все данные, которые только можно представить на устройстве. Это точно была не финансово мотивированная кибератака — злоумышленники не сжигают столько ресурсов, чтобы у пользователей банковские данные, например, «угнать». Мы уверены, что это была высокоуровневая таргетированная кибершпионская активность. Такого уровня разработки делятся либо на коммерческие, либо на state-sponsored (<em>государственные — RTVI</em>). Какое государство может быть в этом заинтересовано и может платить за это деньги — вопрос открытый. У нас нет технических данных, чтобы спекулировать на эту тему», — рассказал RTVI Галов.</p> <p class="p1">Через пару недель после обнародования информации об этой кибератаке Apple признала наличие проблемы и выпустила обновления для исправления данных уязвимостей в iOS. В Apple сообщили, что уязвимости <a href="https://support.apple.com/en-us/HT213814">CVE-2023-32434</a> и <a href="https://support.apple.com/en-us/HT213811">CVE-2023-32435</a> представляли угрозу для всех версий iOS, выпущенных до iOS 15.7., и в описании к выпущенным патчам поименно упомянули четырех сотрудников «Лаборатории Касперского», обнаруживших уязвимости.</p> <p class="p1">Согласно программе Apple Security Bounty, информация о которой есть на официальном <a href="https://security.apple.com/bounty/categories/">сайте</a> компании, вознаграждение от Apple за обнаружение такого рода уязвимостей может составлять до $1 млн.</p>

<div class="intext-box"> <p class="p1">«Лаборатория Касперского» не находится в санкционных списках США или ЕС, однако в марте 2022 года Федеральная комиссия по связи США внесла компанию в список юридических лиц, угрожающих национальной безопасности страны.</p>

</div> <p class="p1">В «Лаборатории Касперского» рассказали RTVI, что после обнаружения данной кибератаки компания начала переводить работу всех сотрудников на мобильные устройства с ОС Android.</p> <p class="p1">«После обнаружения шпионского модуля в iPhone сотрудников компании в прошлом году мы [«Лаборатория Касперского»] ушли с iOS. Всем сотрудникам компании сейчас планово, поэтапно выдают корпоративные мобильные устройства на Android. Мы ушли с iOS не потому что она менее безопасна, а потому что нам как security-вендору хочется иметь в своих руках больше контроля над безопасностью устройств. На iOS мы не можем поставить полноценный продукт, который будет сканировать активность, файлы, предоставлять информацию необходимую для incident response [реагирования на кибератаку]. Android, к тому же, предоставляет больший функционал для MDM [mobile device management]…В общем, если какая-то кибератака на сотрудников снова произойдет, то разбираться с ней на iOS будет сложно, как показала практика», — рассказал Дмитрий Галов.</p> <p class="p1">В Apple не ответили на запрос RTVI на момент публикации.</p>