Sekoia 披露手機水坑攻擊，評估與 APT29 有關

主要來源公告：2026-11-04

本站刊登：2026-11-04 · 內容更新：2026-11-04（香港日期）

情報摘要

Sekoia 於 11 月 4 日披露，攻擊者透過遭篡改或仿冒的網站及第三方網頁追蹤程式，向未修補的 iOS、Android 裝置投放已知漏洞利用鏈，竊取瀏覽器及裝置資料。研究團隊以中至高置信度評估，行動與 APT29 有關。

Sekoia 稱在 2026 年 10 月中發現行動，並把 Plerdy 網頁分析追蹤程式遭篡改的時段列為 8 月 27 日至 9 月 3 日。11 月 4 日是報告日期，並非首次入侵日期。

報告描述三種傳播方式：在合法網站植入程式、以仿冒網域代理真實網站內容，以及篡改第三方追蹤程式。訪客瀏覽相關網頁後，程式會檢查裝置及瀏覽器版本，再按條件投放利用鏈。

研究分析的載荷可竊取瀏覽器 cookies；其中一條 iOS 利用鏈收集較廣泛的裝置資料，Android 載荷則收集 Chrome 資料及 Wi-Fi 密碼。被盜 cookies 可能被用來重用登入狀態。

Sekoia 表示，分析的三條利用鏈均使用已有修補的已知漏洞，而非新發現的零日漏洞。這項結論限於該報告分析的利用鏈。

Sekoia 觀察到的投放條件包括 iOS 16.7、18.5，以及 Android 版 Chrome 139–145（排除 143）；這是投放篩選條件，並非完整受影響版本或機型清單。

流動裝置用戶、網站營運者及資訊保安團隊；香港讀者可作一般防護參考，並非本港遇襲通報。

編輯建議：透過官方渠道安裝適用於裝置、作業系統及瀏覽器的安全更新，Android 用戶亦應核對手機廠商提供的系統修補。網站營運者可檢查頁面及第三方腳本有否未經授權的變更；懷疑資料或登入狀態外洩時，交由資訊保安人員調查並處理受影響帳戶。不要為確認風險而開啟攻擊網域。

報告沒有為整場行動提供單一風險評級；本頁不把個別漏洞的評分套用於整場行動。

APT29 歸因是 Sekoia 根據技術重疊、操作模式及其他線索作出的中至高置信度評估；不是已獨立證實由俄羅斯對外情報局執行本次行動。

報告列出的版本是觀察到的投放條件；實際利用亦取決於裝置、元件及修補狀態。排除 Chrome 143 或未列出某機型，不代表該裝置安全。

這類攻擊仍以瀏覽相關網頁為前提，不代表用戶未開啟網頁亦會遭入侵。

可讀公開資料未核實香港受影響個案或總感染量；網站載入涉事追蹤程式，不等於所有訪客均已感染。

編輯提醒：安裝更新不能當作既有入侵已清除、外洩資料已追回或被盜登入狀態已撤銷的證明。