Oekraïense veiligheidsdiensten waarschuwen voor een toename van mobiele cyberaanvallen op militairen, overheidspersoneel en burgers. Daarbij worden zowel Android-telefoons als iPhones aangevallen met schadelijke apps en geavanceerde kwetsbaarheden.
De Oekraïense Staatsdienst voor Speciale Communicatie en Informatiebescherming stelt dat smartphones door hun centrale rol in communicatie een aantrekkelijk doelwit zijn voor spionage, verdere digitale inbraken en financieel gemotiveerde aanvallen.
Een van de gebruikte middelen is DarkSword, een exploitkit die is ontworpen om iPhones binnen te dringen. Aanvallers zetten deze software in via zogeheten watering-hole-aanvallen: legitieme websites die vermoedelijk door de beoogde slachtoffers worden bezocht, worden gecompromitteerd. In Oekraïne zouden nieuws- en overheidssites zijn misbruikt om kwetsbaarheden in Safari en iOS aan te vallen.
Na een succesvolle aanval kunnen onder meer inloggegevens, berichten, contacten en belgeschiedenis worden buitgemaakt. DarkSword werkt volgens onderzoekers als een snelle aanval: gevoelige gegevens kunnen binnen enkele minuten worden verzameld, waarna sporen op het apparaat worden verwijderd.
Eerdere onderzoeken brachten aanvallen met DarkSword op Oekraïense gebruikers in verband met een vermoedelijk Rusland-gelieerde operatie. De activiteit zou minstens sinds eind 2025 plaatsvinden.
Lokwebsites als lokmiddel
Oekraïense autoriteiten volgen ook twee relatief nieuwe groepen die schadelijke Android-apps verspreiden via misleidende websites. UAC-0244 maakte onder meer sites die zich voordeden als het 3e Legerkorps van Oekraïne en bezoekers uitnodigden een test te doen. Ook werden websites opgezet die zich presenteerden als een mannenclub of andere diensten.
De daarbij gebruikte malware CamelSpy kan gegevens verzamelen over het toestel, waaronder locatiegegevens, simkaarten, contacten, belgeschiedenis en opgeslagen afbeeldingen.
Een andere groep, UAC-0263, gebruikte loksites met vermeende apps voor luchtalarmwaarschuwingen, brandstofkortingen en andere diensten. De malware BTMOB kan aanvallers op afstand toegang geven tot besmette apparaten en gegevens laten stelen.
De mobiele aanvallen passen in een bredere digitale campagne tegen Oekraïne. Het nationale responscentrum CERT-UA registreerde in de eerste helft van 2026 in totaal 3.137 cyberincidenten, ongeveer 8 procent meer dan in de zes maanden daarvoor.
