研究人員周三表示，一個可能與克里姆林宮有關的黑客組織，利用已修補的 iOS 及 Android 漏洞，向數以百計網站的訪客下手，其中包括一個慶祝美國獨立 250 周年的網站。攻擊者以「中等至高度信心」被評估為俄羅斯對外情報局（SVR）的一部分。

攻擊者註冊了 america250[.]holiday，以反向代理方式冒充 america250.org，將真實內容連同惡意 JavaScript 一併傳送。用戶瀏覽時，JavaScript 先為裝置建立指紋，再按 iOS 或 Android 平台分發度身訂造的攻擊載荷，試圖竊取瀏覽器 Cookies，部分個案更盜取 Wi-Fi 密碼及完整流動裝置數據。漏洞雖已修補，但未更新裝置的用戶仍暴露於風險之中。

假網站作跳板　注入惡意 JavaScript

研究人員周三指出，攻擊者註冊了域名 america250[.]holiday，並以反向代理方式冒充 america250.org。這個被冒充的網站屬於一個跨黨派組織，成員包括國會議員、商界行政人員，以及至少一名前特朗普政府成員。假冒網站將真實網站的內容傳送給訪客，同時在流量中注入惡意 JavaScript。

惡意 JavaScript 首先為裝置建立指紋，辨識來訪的是 iPhone 還是 Android 手機。然後，它按平台分發度身訂造的攻擊載荷，針對不同作業系統的漏洞特性。這種做法讓同一批惡意基礎設施能同時攻擊兩大流動平台，擴大潛在受害範圍。

攻擊目標不僅限於 america250.org 的訪客。研究人員表示，受影響網站可能達數百個，許多與烏克蘭戰爭相關。攻擊者利用已修補的 iOS 及 Android 漏洞，意味著只要用戶未及時更新裝置，瀏覽這些網站就可能中招。

竊取 Cookies 與 Wi-Fi 密碼　情報價值高

最終載荷試圖竊取瀏覽器 Cookies，部分個案更盜取 Wi-Fi 密碼及完整流動裝置數據。Cookies 往往包含登入憑證，攻擊者藉此可騎劫用戶的電郵、社交媒體或企業內部系統帳戶。Wi-Fi 密碼則能讓攻擊者進一步滲透用戶所在的網絡環境。

研究人員以「中等至高度信心」評估，攻擊者屬於俄羅斯對外情報局（SVR）的一部分。這類情報搜集行動通常針對外交人員、政府官員及商界領袖，透過竊取的憑證獲取敏感通訊內容。被冒充的 america250.org 組織成員包括國會議員及商界行政人員，正好符合情報目標的特徵。

不過，研究人員僅以「中等至高度信心」作出評估，並非確鑿證據。攻擊者的真實身份仍存在不確定性，其他國家級黑客也可能使用類似手法。儘管如此，攻擊基礎設施的規模及針對性，反映背後有相當資源支持。

漏洞已修補　未更新裝置仍中招

研究人員周三表示，攻擊者利用的是先前已修補的 iOS 與 Android 漏洞。換言之，廠商已推出更新，但用戶若未及時安裝，裝置仍然暴露。攻擊者不必尋找新漏洞，只要掃描未修補的裝置，就能以舊漏洞發動攻擊。這類「已知漏洞」攻擊成本低，卻極依賴用戶的更新習慣。

惡意 JavaScript 會為裝置建立指紋，辨識型號與系統版本，再按 iOS 或 Android 平台分發度身訂造載荷。這種自動化篩選意味攻擊者能大規模掃描潛在目標，只向合資格的裝置投放載荷，避免浪費資源。研究人員未披露具體受影響人數，亦未確認是否有外交人員實際中招。

值得追問的是，攻擊者如何得知裝置未更新？瀏覽器指紋只能推斷型號與版本，未必準確至修補狀態。研究人員未解釋這一點，亦未公開載荷的具體觸發條件。若指紋辨識出現誤差，攻擊可能失效，但亦可能促使攻擊者轉向更隱蔽的手法。

企業 BYOD 政策成防線缺口

流動裝置已成為企業電郵與雲端服務的主要存取工具。Cookies 被盜，等同帳戶被騎劫，攻擊者毋須破解密碼，即可讀取電郵、日曆及檔案。香港金融及專業服務界別普遍容許員工以自攜裝置處理公務，若裝置未修補，憑證外洩風險直接落在企業系統之上。

攻擊針對瀏覽器而非單一應用程式，傳統端點防護軟件難以偵測。惡意 JavaScript 在瀏覽器內執行，不會留下明顯的檔案痕跡，防毒軟件亦未必攔截。企業若只依賴端點防護，而不監察瀏覽器行為及網絡流量，這類攻擊可長期潛伏。

企業需強制裝置更新、限制高風險網站存取，並考慮以硬體金鑰取代單靠 Cookies 的認證方式。不過，強制更新在自攜裝置政策下執行困難，員工或會抗拒公司檢查其私人手機。有資安顧問認為，硬體金鑰部署成本高，中小企未必能負擔，政策落實與否取決於管理層的風險取態。

漏洞已修補，但更新滯後才是真正的風險。攻擊者以假網站及瀏覽器指紋辨識，精準針對未更新的裝置，企業與個人若繼續忽視更新，等於將憑證拱手相讓。香港作為國際金融中心，外交及商界人員流動頻繁，這類攻擊隨時令企業電郵及內部系統憑證外洩。

港府雖有網絡安全法例，但企業對員工自攜裝置的更新管理普遍寬鬆。金融及專業服務界別若仍容許員工以未修補的 iPhone 或 Android 手機處理公務，風險不容忽視。監管機構會否收緊指引，將是下一道防線的關鍵。