苹果公司（Apple）计划修复一个安全漏洞，据一家安全公司表示，此漏洞可能导致超过 5 亿支 iPhone 沦为骇客攻击的目标。这个同时也在 iPad 发现的漏洞，是由总部位于旧金山的行动安全鉴识公司 ZecOps 发现，当时正在调查一起 2019 年底专门针对某家客户发动的复杂网络攻击事件。ZecOps 首席执行官 Zuk Avraham 表示，他发现至少有 6 次网络安全入侵事件利用这个漏洞。
苹果发言人承认，苹果 iPhone 和 iPad 的电子邮件软件 Mail App 有个安全漏洞，目前已开发安全修补程式，将伴随全球销售数百万支装置的更新一并释出。
苹果拒绝对 Avraham 22 日的研究发表评论，研究表明漏洞能从远端触发，并早被骇客用来攻击高知名度使用者。Avraham 指出，他发现的证据表明，早在 2018 年 1 月，就有恶意程式充分利用苹果 iOS 行动操作系统漏洞，但他无法确认骇客是谁。
发送诱发当机恶意邮件以远端窃取资料
Avraham 阐释，为了发动攻击，骇客会透过 Mail App 向受害者送能迫使系统当机并重置的全空白电子邮件。系统当机攻击为骇客窃取装置其他资料（如照片和联络人细节）打开长驱直入的大门。
ZecOps 声称，漏洞让骇客远端窃取 iPhone 资料，即使这些 iPhone 执行最新版 iOS 也一样。最令人担心的是，只要此 Mail App 能存取的任何内容（包括机密讯息），骇客便能透过这个漏洞窃取。
曾任以色列国防军队前安全研究员的 Avraham 指出，他怀疑这种骇客攻击技术是一系列恶意程式的一部分，且其余程式仍然未发现，这些程式可能赋予攻击者拥有完全的远端存取权限。苹果拒绝对这观点及这类攻击的可能发展性表示意见。
ZecOps 发现，去年就有骇客运用 Mail App 攻击技术对某家客户发动攻击。 Avraham 透露这家被当成攻击目标的客户是“财富 500 大（Fortune 500）北美科技公司”，但拒绝透露公司名称。他们还发现针对日本、德国、沙特阿拉伯及以色列等其他 5 家公司员工遭攻击的相关证据。
Avraham 大部分结论都是基于“系统当机报告”资料，这些报告是在装置程式执行到一半发生故障时生成。他接着反向重建导致这类人为可控式当机的技术。两位独立安全研究人员审查 ZecOps 的发现后认为，证据可信，但还未能完全反向重现调查结果。
热门漏洞攻击程式叫价百万美元
苹果安全专家与美国国家安全局（National Security Agency，NSA）前研究员 Patrick Wardle 表示，这发现“证实一直保守得相当糟糕的秘密：资源丰富的对手可悄然无声远端攻击完全修补好的 iOS 装置”。
由于苹果直到最近才意识到这个软件漏洞，所以对专门提供骇客攻击服务的-与承包商来说，一直是非常有价值的攻击工具与管道。目前市场能对最新手机发动不会触发安全警示的攻击的漏洞攻击程式（Exploit Program），成交价可能超过 100 万美元。
尽管苹果在网络安全行业被视为树立数位安全高标准的一大典范，但由于 iPhone 的普及程度，任何针对该装置的成功骇客攻击技术，都可能对数以百万计的使用者造成影响。苹果表示，2019 年 iPhone 活跃用户数约达 9 亿人。
加拿大学术安全研究团体公民实验室（Citizen Lab）安全研究员 Bill Marczak 以“恐怖级”来形容个漏洞发现。“很多时候，你会从骇客攻击是可预防的既定事实中获得安慰，”Marczak 表示：“但透过这个漏洞，就算你是网络安全博士，都会被它击败。”
- Flaw in iPhone, iPads may have allowed hackers to steal data for years
（首图来源：苹果）
