Apple 間諜軟件警報突然湧現：收到通知點驗真、點處理先啱
警報代表你俾人針對，感染與否仍要靠鑑證確認
Apple 最近向多國用戶發出新一輪間諜軟件威脅通知，接觸相關個案嘅調查人員話，今次公開個案同求助量都異常高。Access Now 主管 Mohammed Al-Maskati 向 TechCrunch 表示，收到嘅求助多過平時同類通知約 30% 至 40%；iVerify 亦見到查詢湧入。不過，Apple 冇公布實際通知人數、完整地區名單、攻擊者或者涉事工具，暫時亦冇公開資料證實香港喺今輪通知範圍。
「前所未見」唔等於 iPhone 大規模失守
Citizen Lab 研究員 John Scott-Railton 形容，公開帖文嘅數量同地區分布相當罕見；呢個判斷來自調查人員觀察，唔係 Apple 嘅官方統計。仲有一個幾實際嘅原因：Apple 今年開始直接喺 iPhone 鎖定畫面同「設定」顯示警報，另有電郵同帳戶網頁提示，用戶更難錯過。換句話講，求助量上升可能同通知更搶眼有關，單靠公開帖文未足以計出攻擊規模。
Apple 將呢類高度針對性工具叫做「傭兵間諜軟件」，常見目標包括記者、社運人士、政界人士、外交人員同處理敏感資料嘅專業人士。官方話絕大部分用戶一世都唔會遇到呢類攻擊。收到通知代表 Apple 高度相信有人曾經針對你，感染有冇成功、資料有冇外洩，仍然要靠鑑證先確認；部分警報亦可能對應幾個月前發生嘅攻擊嘗試。
圖片：Apple
驗真最穩陣：自己輸入 Apple 網址
見到警報，先唔好撳訊息入面任何連結。自行打開瀏覽器，輸入 account.apple.com 登入；真警報會清楚顯示喺帳戶頁頂部，新版系統亦可能喺鎖定畫面同「設定」出現。Apple 明確話，威脅通知唔會叫你開附件、安裝 app 或描述檔，亦唔會經電郵或電話索取 Apple 帳戶密碼同驗證碼。寄件地址可以參考，但地址有機會俾人冒認，帳戶頁先係較可靠嘅核對位置。
圖片：Apple
收到之後先保護裝置，再搵專家
確認警報屬真，就按 Apple 指引更新裝置至最新版本、開啟「封鎖模式」，同時聯絡數碼保安專家。Apple 指向 Access Now 嘅 Digital Security Helpline，服務每日 24 小時運作；Amnesty Security Lab 亦為記者、社運人士同公民社會成員提供鑑證支援。處理敏感個案嘅律師、機構主管或者政治人物，可以經另一部可信裝置聯絡自己組織嘅保安團隊，避免繼續用可疑裝置談論調查安排。
「封鎖模式」做咗啲咩
「封鎖模式」會收窄可俾攻擊者利用嘅入口，例如限制大部分訊息附件同連結預覽、部分複雜網站技術、陌生 FaceTime 來電、Apple 服務邀請、配件連線同新描述檔。代價係部分網站會載入得慢或者顯示唔正常，某啲分享同通訊功能亦用唔到。佢係為高風險用戶設計嘅極端保護，功能上有明顯取捨；收到正式警報時，呢啲不便通常值得接受。
急住清機，可能連證據都清走
Access Now 特別提醒，唔好第一時間抹機或回復原廠設定。清機未必擋到下一次攻擊，卻可能刪走記錄、資料庫同其他鑑證線索，令專家查唔到用過咩漏洞、攻擊有冇成功。先按專家指示備份裝置、保存警報截圖同收到通知嘅時間，再決定後續處理。對記者、社運人士、政界人士、律師同處理敏感資料嘅用戶嚟講，保留呢批證據亦有助判斷其他聯絡人或裝置使唔使一併檢查。
參考來源
- TechCrunch — ‘Unprecedented’ number of Apple users received recent spyware alert, say investigators — original report
- About Apple threat notifications and protecting against mercenary spyware — Apple 官方解釋通知方式、驗真方法、警報可信度同基本安全建議。
- 關於「封鎖模式」 — Apple 香港官方列出「封鎖模式」限制嘅功能、保護範圍同開啟方法。
- Access Now’s Digital Security Helpline and Apple threat notifications — 一手安全處理建議，包括更新系統、開啟「封鎖模式」、備份同避免抹機。
- Apple threat notifications: What they mean and what you can do — 解釋警報代表被針對，但成功感染仍要靠鑑證確認。
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
