Οι επιθέσεις zero-click αποτελούν τον απόλυτο εφιάλτη της ψηφιακής εποχής, καθώς μπορούν να παραβιάσουν το smartphone σου χωρίς καν να αγγίξεις την οθόνη. Ερευνητές της ομάδας Project Zero της Google απέδειξαν στο συνέδριο Black Hat ότι αυτά τα κενά ασφαλείας παραμένουν απειλή ακόμα και στα πιο σύγχρονα flagship μοντέλα. Στο TechNoid αναλύουμε πώς λειτουργούν αυτά τα exploits και τι σημαίνουν πραγματικά για την καθημερινή σου ασφάλεια.
- Οι ερευνητές του Project Zero Natalie Silvanovich και Ivan Fratric παρουσίασαν zero-click exploits σε συσκευές Pixel 9 και Pixel 10.
- Οι επιθέσεις αξιοποίησαν ευπάθειες σε παρωχημένους κωδικοποιητές ήχου, όπως ο Dolby Audio EAC3, και οδηγούς VPU.
- Παρά τη σοβαρότητά τους, οι επιθέσεις zero-click είναι εξαιρετικά δαπανηρές και στοχεύουν αποκλειστικά υψηλού προφίλ χρήστες.
Πώς λειτουργούν οι επιθέσεις zero-click
Για να κατανοήσεις πώς μια αόρατη ευπάθεια zero-click παρακάμπτει κάθε άμυνα, σκέψου έναν υπάλληλο υποδοχής σε μια εταιρεία. Ο υπάλληλος αυτός παραλαμβάνει δέματα και διαθέτει πρόσβαση στα γραφεία, αλλά κανονικά απαιτεί ρητή έγκριση πριν εισέλθει σε κάποιο χώρο εργασίας. Αν όμως παραλάβει ένα δέμα με μια κακόβουλη ετικέτα, μπορεί να χάσει τον έλεγχο και να αρχίσει να μπαινοβγαίνει ανεξέλεγκτα κλέβοντας έγγραφα.
Στις δοκιμές που παρουσίασε το Project Zero, οι ερευνητές εκμεταλλεύτηκαν ένα κρίσιμο σφάλμα στον κωδικοποιητή Dolby Audio EAC3 στο Pixel 9 για να περάσουν κακόβουλο φορτίο. Στο Pixel 10, η παραβίαση επιτεύχθηκε μέσω ενός οδηγού VPU. Το θύμα δεν λαμβάνει ποτέ ειδοποίηση, ενώ η συσκευή αρχίζει αθόρυβα να μεταδίδει προσωπικά αρχεία και ηχητικά αποσπάσματα σε απομακρυσμένες διευθύνσεις IP.
Πρέπει να ανησυχείς για τα exploits
Η ωμή αλήθεια είναι ότι ο μέσος χρήστης δεν αποτελεί ποτέ στόχο τέτοιων επιθέσεων. Σε αντίθεση με το phishing ή τα μαζικά μηνύματα, τα zero-click exploits απαιτούν τεράστιους πόρους και χρησιμοποιούνται αποκλειστικά για κρατική κατασκοπεία ή παρακολούθηση συγκεκριμένων ατόμων υψηλού προφίλ.
Το ιστορικό το επιβεβαιώνει πέραν πάσης αμφιβολίας. Το 2026, η ρωσική ομάδα Laundry Bear στόχευσε εταιρείες μέσω διακομιστών Zimbra, ενώ το 2025 η ισραηλινή Paragon Solutions χρησιμοποίησε ευπάθεια του WhatsApp σε μόλις 90 συγκεκριμένους χρήστες παγκοσμίως. Αντίστοιχα, παλαιότερες απειλές όπως η επίθεση StageFright στο Android έδειξαν ότι τα κενά αυτά κλείνουν μόλις εντοπιστούν, καθιστώντας το κόστος συντήρησης ενός τέτοιου exploit απαγορευτικό για κοινούς εγκληματίες.
Πώς μειώνεται η επιφάνεια επίθεσης
Η αποτελεσματικότερη άμυνα απέναντι σε αυτές τις απειλές δεν είναι κάποιο antivirus τρίτου κατασκευαστή, αλλά η μείωση της λεγόμενης «επιφάνειας επίθεσης». Σύμφωνα με την Natalie Silvanovich, η ύπαρξη ξεπερασμένων πρωτοκόλλων όπως ο κωδικοποιητής EAC3 —ο οποίος δεν χρησιμοποιείται καν ευρέως στις σύγχρονες κινητές συσκευές— λειτούργησε ως ο Δούρειος Ίππος για την παραβίαση.
Η Google δέχτηκε πάντως εύλογη κριτική επειδή χρειάστηκε περισσότερες από 70 ημέρες για να διορθώσει τις συγκεκριμένες ευπάθειες. Η ταχύτητα διάθεσης των ενημερώσεων ασφαλείας παραμένει το μεγαλύτερο αγκάθι στο οικοσύστημα του Android, αφήνοντας παράθυρα ευκαιρίας σε όσους επενδύουν εκατομμύρια στην ανακάλυψη zero-day κενών.
Η άποψή μας στο TechNoid
Στο TechNoid πιστεύουμε ότι η υστερία γύρω από τα zero-click exploits είναι αδικαιολόγητη για τον καθημερινό καταναλωτή, αλλά κακοπροαίρετα καθησυχαστική για τους κατασκευαστές. Το γεγονός ότι μια συσκευή ναυαρχίδα μπορεί να παραβιαστεί μέσω ενός άχρηστου πλέον audio codec δείχνει ότι ο κώδικας των λειτουργικών συστημάτων έχει γίνει υπερβολικά περίπλοκος. Αντί να ανησυχείς αν θα πέσεις θύμα zero-click στον δρόμο για τη δουλειά, εστίασε στα βασικά: εγκατέστησε κάθε διαθέσιμο security patch την ημέρα που κυκλοφορεί και μην αφήνεις περιθώρια με ανενημέρωτο λογισμικό. Διάβασε επίσης την ανάλυσή μας για τις καλύτερες πρακτικές ασφάλειας κινητών που σε γλιτώνουν από τις καθημερινές απειλές.
Συχνές Ερωτήσεις για τις επιθέσεις zero-click
Τι είναι ακριβώς μια επίθεση zero-click;
Είναι μια κακόβουλη ενέργεια που παραβιάζει μια συσκευή αθόρυβα, χωρίς να απαιτείται καμία αλληλεπίδραση —όπως κλικ σε σύνδεσμο ή άνοιγμα μηνύματος— από τον χρήστη.
Χρειάζεται να ανησυχώ ως απλός χρήστης κινητού;
Όχι, οι επιθέσεις αυτές είναι εξαιρετικά δαπανηρές και στοχεύουν αποκλειστικά πολιτικούς, δημοσιογράφους και ακτιβιστές υψηλού προφίλ.
Πώς μπορώ να προστατευτώ από zero-click exploits;
Ο μόνος αξιόπιστος τρόπος προστασίας είναι η άμεση εγκατάσταση των ενημερώσεων ασφαλείας του λειτουργικού συστήματος μόλις αυτές διατεθούν.
Επηρεάζονται μόνο τα κινητά Android;
Όχι, παρόμοιες ευπάθειες zero-click έχουν εντοπιστεί στο παρελθόν και σε συσκευές iOS, εφαρμογές όπως το WhatsApp, καθώς και σε διακομιστές ηλεκτρονικού ταχυδρομείου.
Γιατί οι χάκερς χρησιμοποιούν παλιούς κωδικοποιητές ήχου;
Οι παρωχημένοι κωδικοποιητές διαθέτουν συχνά παραμελημένο κώδικα με μη διορθωμένα σφάλματα, προσφέροντας εύκολη δίοδο στους επιτιθέμενους.
Πόσο χρόνο χρειάζεται η Google για να διορθώσει τέτοια κενά;
Στις συγκεκριμένες δοκιμές του Project Zero, η Google χρειάστηκε περισσότερες από 70 ημέρες για να αποκαταστήσει τις ευπάθειες.
Μπορεί ένα κοινό antivirus να εντοπίσει μια zero-click επίθεση;
Συνήθως όχι, καθώς τα exploits αυτού του τύπου εκμεταλλεύονται κενά σε χαμηλό επίπεδο συστήματος και παρακάμπτουν τις παραδοσιακές μεθόδους εντοπισμού.
