iPhone-aanval via advertenties op Nederlandse nieuwssites

Begin november verspreidden minstens veertien Nederlandse websites via hun advertenties code die iPhones probeerde over te nemen. Wie zijn toestel had bijgewerkt, liep volgens de uitgevers naar verwachting geen risico op overname: de misbruikte lekken waren al maanden gedicht. Bezoekgegevens konden wel van elke bezoeker naar de aanvallers gaan.

Dat is de les van dit incident. Een zero-day houd je als organisatie niet tegen. Een lek waarvoor de patch al klaarligt wel, en dat is het minimum dat je moet regelen.

Wat er gebeurde

De aanvaller hackte geen van de websites zelf, maar het advertentiesysteem dat ze delen. Iemand kreeg onbevoegd toegang tot het beheersysteem ervan en voegde code toe aan een advertentietag. Dat systeem komt van een externe leverancier en wordt beheerd door een aparte advertentiedienstverlener, zo staat in de waarschuwing van VI.nl.

Die tag draait op veel sites tegelijk, waaronder VI, VoetbalPrimeur, Bright, Scientias, Autoblog, GeenStijl, Men’s Health en Runner’s World. De NOS telt minstens veertien Nederlandse sites en één Belgische. De uitgevers waarschuwden hun bezoekers op zaterdagavond 14 november.

De ongeautoriseerde accounts zijn verwijderd en bestaande sessies beëindigd.

De code deed twee dingen. Ze stuurde bezoekgegevens door, zoals IP-adres, bezochte pagina’s en toestelinformatie. Dat kon elke bezoeker treffen, ook met een bijgewerkte iPhone of een ander apparaat. Daarnaast probeerde ze lekken in iOS te misbruiken om bij wachtwoorden, berichten, foto’s, contacten en cryptowallets te komen. Het risico gold bij een bezoek aan de site, ongeacht de browser.

Of er echt toestellen zijn overgenomen, is nog niet vastgesteld. Wel is bevestigd dat bezoekgegevens naar de aanvallers zijn gestuurd. Het onderzoek loopt.

Wie liep risico

Voor zover onderzocht waren alleen iPhones met een verouderde iOS-versie kwetsbaar voor de overname. De patches bestonden al bijna acht tot bijna elf maanden toen de aanval begon.

Dit zijn de versies die de uitgevers en Security.NL voor deze aanval noemen. Voor iOS 26 noemen zij geen subversie. Apple adviseert de nieuwste iOS-versie.

Voor Android-toestellen, iPads en computers vonden de uitgevers geen vergelijkbare aanval, maar ook van die apparaten kunnen bezoekgegevens zijn doorgestuurd. Apple schreef al in april 2026 in een eigen waarschuwing dat toestellen met bijgewerkte software niet kwetsbaar waren voor de webaanvallen die toen gemeld werden.

Zero-days houd je niet tegen, bekende lekken wel

Welke exploitkit hier is gebruikt, is niet bevestigd. Security.NL noemt Coruna en DarkSword.

Over DarkSword is meer bekend. Google beschreef hem in maart 2026 als een keten van zes lekken voor iOS 18.4 tot en met 18.7, sinds november 2025 gebruikt door onder meer een leverancier van surveillancesoftware en een vermoedelijk Russische spionagegroep. Voor een deel van die lekken bestond toen nog geen patch.

Daarna gebeurde wat vaker gebeurt. Apple dichtte de lekken, de kit lekte uit en criminelen namen hem over. Bij ongeveer driekwart van de detecties gaat het om criminelen die op inloggegevens en crypto uit zijn, blijkt uit een rapport van iVerify.

Een aanval van gisteren, bedoeld voor een handvol doelwitten, is vandaag gereedschap dat via een advertentie op een voetbalsite kan draaien. Wat ertussen staat, is vooral een update.

Grofweg geldt:

• Zero-day: nog geen patch. Zeldzaam, duur en meestal gericht ingezet. Hier helpen detectie, segmentatie en beperkte rechten.
• Bekend lek met patch: goedkoop, geautomatiseerd en massaal ingezet. Hier helpt vooral updaten.

Wie niet patcht, is kwetsbaar voor elke aanvaller met een downloadlink. Wie wel patcht, houdt voor dit soort aanvallen vooral de aanvallers over die een zero-day kunnen betalen.

Voor beheerders: maak van updaten geen keuze

Een gebruiker die “later” tikt, is geen patchbeleid. In een beheerde omgeving dwing je updates af en controleer je of ze zijn aangekomen.

• Dwing iOS-updates af met een deadline. Met update-policies voor iOS en iPadOS werkt een toestel na een vaste termijn zelf bij. Dat werkt vanaf iOS 17, op toestellen die zijn ingeschreven met Device Enrollment of Automated Device Enrollment.
• Stel een minimale OS-versie in je compliance policy in. Een toestel daaronder geldt als niet-compliant; met acties voor niet-compliance bepaal je wat daarop volgt.
• Vergeet privétoestellen niet. Met app protection policies eis je ook op onbeheerde telefoons een minimale iOS-versie: Min OS version met de actie Block access blokkeert de toegang in apps met de Intune SDK.
• Faseer toestellen uit die geen updates meer krijgen. Een iPhone die niet verder komt dan iOS 15 of 16 hangt af van losse noodpatches. Intune zelf ondersteunt sinds eind september 2026 alleen nog iOS/iPadOS 18 en nieuwer, ook voor app protection (What’s new in Intune).
• Meet het. Wat er echt op de toestellen staat, zegt meer dan een beleid op papier. Intune heeft rapporten over de updatestatus van Apple-toestellen vanaf iOS 17. De OS-versie per toestel zie je onder Devices > All devices.

Hetzelfde geldt buiten iOS: Windows, macOS, browsers, firmware en applicaties van derden. De aanvaller kiest het onderdeel dat jij vergat.

Wat doe je nu

Bezocht je tussen 1 en 3 november of op 11 november een van de sites met een niet-bijgewerkte iPhone? Dan adviseren de uitgevers dit:

1. Installeer de nieuwste iOS-versie via Instellingen > Algemeen > Software-update.
2. Wijzig de wachtwoorden die op het toestel stonden, te beginnen met e-mail, Apple-account en bank, bij voorkeur vanaf een ander toestel. Zet waar mogelijk tweestapsverificatie aan.
3. Gebruik je een cryptowallet op dat toestel? Overweeg je tegoed over te zetten naar een nieuwe wallet met een nieuwe herstelzin, aangemaakt op een veilig toestel.
4. Let op misbruik, zoals verdachte inlogmeldingen of onbekende transacties. Wees ook alert op phishing die naar dit incident verwijst.

Kun je niet updaten? Apple raadde bij de eerder gemelde webaanvallen aan Lockdown Mode te overwegen.

Voor organisaties:

1. Draai vandaag een rapport: welke toestellen zitten onder de nieuwste versie, en op oudere lijnen in elk geval onder iOS 18.7.3, 16.7.15 of 15.8.7?
2. Zet een deadline op updates en een minimale versie in je compliance policy.
3. Zet automatische updates aan op alles wat je niet centraal beheert.