Android vs iPhone: który jest bezpieczniejszy? CVE, zero-daye, ceny exploitów i czas łatania w liczbach (2026)

Za działający exploit zero-click na iPhone’a brokerzy płacą dziś do 7 milionów dolarów. Za taki sam na Androida – do 5 milionów. Sprawa zamknięta, iPhone bezpieczniejszy? Nie tak szybko. W 2019 roku było dokładnie odwrotnie: Zerodium płaciło za Androida 2,5 mln, za iOS 2 mln, a jego szef tłumaczył, że rynek jest zwyczajnie zalany exploitami na iPhone’a. 💥

„Michał, co jest bezpieczniejsze: iPhone czy Android?” – to pytanie dostaję regularnie. Od znajomych, od klientów, od prezesów, którzy właśnie wymieniają flotę telefonów. I zawsze odpowiadam tak samo: zależy, co mierzysz. Bo w tej dyskusji każdy ma opinię, a mało kto ma liczby.

Dlatego zrobiłem to, co lubię najbardziej: zebrałem w jednym miejscu twarde dane. Liczbę podatności (CVE), zero-daye użyte w realnych atakach, tempo łatania, ceny exploitów na czarnym rynku, wyniki konkursów hakerskich, statystyki malware’u i phishingu, programy bug bounty. Do tego krótki przegląd tego, jak zabezpieczenia obu systemów działają i jak prawdziwe ataki je obchodziły – łącznie z tym, dlaczego funkcja stworzona dla osób z niepełnosprawnościami jest dziś ulubionym narzędziem złodziei na Androidzie. Każda liczba ma źródło i datę (lista na końcu). Na koniec – werdykt i 7 rzeczy, które powinien zrobić każdy, niezależnie od logo na obudowie.

Spis treści

1. Zanim porównamy: jabłko z workiem jabłek
2. Ile CVE ma Android, a ile iOS?
3. Zero-daye w realnych atakach: 15 na urządzenia mobilne w 2025
4. Jak szybko łatane są podatności? Apple vs Google
5. Ile kosztuje włamanie – cennik czarnego rynku i Pwn2Own
6. Ile liczy zespół bezpieczeństwa? Bug bounty i obrona sklepów
7. Malware i phishing: gdzie realnie giną pieniądze
8. Pegasus, Graphite i spółka: kto jest celem
9. Mury i furtki: jak ataki obchodzą zabezpieczenia (i dlaczego ułatwienia dostępu są groźne)
10. Werdykt: tabela punktowa
11. 7 rzeczy do zrobienia niezależnie od systemu
12. FAQ

Zanim porównamy: jabłko z workiem jabłek

Jedna uczciwa uwaga na start, bo bez niej całe porównanie jest nieuczciwe. iPhone to jeden producent, jeden system i jeden sklep. „Android” to Pixel od Google, Samsung z własną nakładką i własnym bulletinem bezpieczeństwa, Xiaomi, Motorola, a na końcu telefon za 400 zł z marketu, który ostatnią aktualizację dostał w dniu premiery. Porównujemy więc jabłko z całym workiem jabłek różnej świeżości.

Skala też nie jest symetryczna. Na świecie Android ma 69% rynku, iOS 31% (StatCounter, wrzesień 2026). W Polsce proporcje są bliższe: 64% Android, 36% iOS. Większy udział to większy magnes na masowe przestępstwo – przestępca pisze trojana bankowego tam, gdzie ma najwięcej potencjalnych ofiar.

I jeszcze wsparcie, bo to decyduje, czy łatka w ogóle do Ciebie dotrze:

• Pixel 8 i nowsze: 7 lat aktualizacji systemu i bezpieczeństwa (Pixel 6/7: 5 lat).
• Samsung Galaxy S24/S25: 7 lat.
• Tańsze Androidy: zależy od producenta i modelu, zwykle wyraźnie krócej niż u flagowców. Zanim kupisz, sprawdź deklarowany okres aktualizacji na stronie producenta.
• iPhone: Apple nie obiecuje żadnej liczby lat. Ale wydany 14 września 2026 iOS 27 nadal działa na iPhonie 11 z 2019 roku – czyli w praktyce ok. 7 lat.

Lekcja nr 1: Pytanie „Android czy iPhone” jest źle postawione. Właściwe brzmi: „który Android?”. Pixel z 7-letnim wsparciem i no-name z dwuletnim to dwa różne światy, choć oba nazywają się Android.

Ile CVE ma Android, a ile iOS?

Dla nietechnicznych: CVE to publiczny katalog podatności – każda ujawniona dziura dostaje numer, żeby wszyscy mówili o tym samym błędzie. Pisałem o nim szerzej we wpisie o cyberzagrożeniach 2026 w liczbach.

Zimperium w swoim Global Mobile Threat Report 2025 policzyło: w 2024 roku Android dostał 501 CVE, iOS – 317. Jeszcze ciekawiej wygląda liczba zero-dayów, czyli dziur wykorzystanych w atakach, zanim pojawiła się łatka: Android 41 / 97 / 12 w latach 2022 / 2023 / 2024, iOS odpowiednio 5 / 20 / 5.

Pierwszy odruch: „Android ma więcej dziur”. Drugi odruch, ten pentesterski: liczba CVE mówi więcej o tym, jak kto liczy i jak wielu ludzi szuka, niż o tym, jak bezpieczny jest system. Dlaczego?

• Do CVE Androida wlicza się komponenty firm trzecich: modemy, układy Qualcomma, MediaTeka. Google w swoich bulletinach łata czyjeś błędy. Apple projektuje własne chipy i liczy inaczej.
• Android jest open source – każdy może zajrzeć w kod i zgłosić błąd. W zamkniętym iOS szukanie dziur jest trudniejsze, więc część z nich po prostu nie dostaje numeru.
• Od 2025 roku Google zmienił rytm bulletinów (o tym za chwilę), więc nawet porównanie roku do roku u samego Androida robi się nieoczywiste. Dla skali: w pierwszej połowie 2025 Android Security Bulletin łatał ok. 270 podatności, sam grudniowy bulletin 2025 – 107. Apple w iOS 26.0 załatał 27 CVE (według SecurityWeek; sama lista Apple ma więcej pozycji, bo jedna dziura potrafi dotyczyć kilku komponentów).

Dużo ciekawsza od surowej liczby jest jakość błędów. Google od lat publikuje udział błędów pamięci (to klasa dziur, z której powstaje większość exploitów) w podatnościach Androida: 76% w 2019, 24% w 2024 i poniżej 20% w 2025. Zasługa Rusta – w Androidzie jest już ok. 5 mln linii kodu w tym języku, a Google raportuje w nim ok. 1000 razy mniej błędów pamięci na milion linii niż w C/C++. Apple odpowiedziało we wrześniu 2025 Memory Integrity Enforcement (MIE) w iPhonie 17: sprzętowe tagowanie pamięci włączone na stałe, które według Apple to „najważniejszy upgrade bezpieczeństwa pamięci w historii konsumenckich systemów”. Google miał sprzętowy MTE w Pixelu 8 już w 2023, ale jako opcję; Apple włączyło to każdemu, domyślnie. ✔️

Lekcja nr 2: Nie kupuj telefonu po liczbie CVE. Kupuj po tym, czy producent inwestuje w likwidowanie całych klas błędów – a tu obaj giganci zrobili w ostatnich dwóch latach więcej niż przez poprzednią dekadę.

Zero-daye w realnych atakach: 15 na urządzenia mobilne w 2025

Najtwardsza miara to nie „ile dziur znaleziono”, tylko „ile dziur użyto przeciwko ludziom, zanim była łatka”. Google Threat Intelligence Group liczy to co roku:

• 2025: 90 zero-dayów wykorzystanych w atakach (2024: 78, 2023: 100). Z tego 15 na platformach mobilnych (2024: 9, 2023: 17).
• W podziale na firmy (wszystkie produkty, nie tylko telefony): Microsoft 25, Google 11, Apple 8.
• Łańcuchy kilku zero-dayów naraz niemal wyłącznie (ok. 90%) celują w telefony. W 2025 łańcuchy z trzech i więcej błędów były częstsze niż rok wcześniej – bo pojedyncza dziura już nie wystarcza, żeby przebić się przez zabezpieczenia.
• Jedyny podział na platformę, jaki Google podał: w 2024 roku 7 zero-dayów dotyczyło Androida, w tym 3 w komponentach firm trzecich. Dla iOS Google takiej liczby nie opublikował.
• Po raz pierwszy w historii pomiaru więcej zero-dayów przypisano komercyjnym producentom spyware’u niż grupom szpiegowskim państw.
• Świeży przykład z iOS: 28 września 2026 Apple wydało iOS 26.7.1 z łatką na dziurę w CoreGraphics (CVE-2026-86950), która według Apple mogła zostać wykorzystana w „niezwykle wyrafinowanym ataku” na konkretne osoby, na wersjach starszych niż iOS 27. Dla kontrastu: październikowy bulletin Androida (25 CVE) nie oznacza żadnej dziury jako wykorzystywanej. Jeden miesiąc niczego nie dowodzi – ale dobrze pokazuje, że „iPhone nie ma zero-dayów” to mit.

Zalecenie z tego samego raportu brzmi jak jedno zdanie, więc je powtórzę: włącz Advanced Protection na Androidzie (od Androida 16) albo Lockdown Mode na iPhonie. To tryby „dla osób wysokiego ryzyka”, ale dla prezesa, prawnika czy dziennikarza są dziś po prostu rozsądnym ustawieniem.

Lekcja nr 3: W świecie zero-dayów oba systemy są celem, a różnice są mniejsze, niż sugeruje internet. Liczą się nie tyle błędy, co to, ile kosztuje złożenie z nich działającego ataku – a o tym za chwilę.

Jak szybko łatane są podatności? Apple vs Google

Najlepszy niezależny pomiar ma Google Project Zero – zespół, który zgłasza błędy wszystkim producentom (łącznie z Google) i publicznie liczy, ile dni zajmuje im łatka. Termin to 90 dni.

Za lata 2019-2021: iOS średnio 70 dni, Pixel 72, Samsung 72. Czyli remis. W tabeli za 2025 (stan na marzec 2026) Apple nie ma ani jednego zgłoszenia, więc porównać się nie da; Pixel 10 potrzebował 73, 98 i 98 dni (dwa razy po terminie), Samsung łatał kodeki obrazu średnio w 49 dni. Ciekawostka z tego samego zestawienia: przeglądarki. Chrome potrzebował 30 dni od zgłoszenia do wydania poprawki użytkownikom, WebKit (silnik Safari) – 73. Apple łata szybko, ale wydaje w swoim rytmie.

Tylko że „łatka wydana przez producenta” to nie to samo, co „łatka na Twoim telefonie”. I tu zaczyna się prawdziwa różnica:

Android zmienił rytm. Przez dziesięć lat Google wydawał co miesiąc bulletin z łatkami. W lipcu 2025 pojawił się pierwszy w historii pusty bulletin, a od września 2025 działa system „oparty na ryzyku”: co miesiąc tylko dziury aktywnie wykorzystywane lub będące częścią znanych łańcuchów, reszta w dużych wydaniach kwartalnych. Partnerzy dostają kod kilka miesięcy wcześniej, a od 2026 kod źródłowy AOSP jest publikowany dwa razy do roku. Dla użytkownika Samsunga czy Pixela to w praktyce neutralne. Dla twórców alternatywnych systemów (np. GrapheneOS) to problem – łatki docierają do nich później.

Apple poszło w drugą stronę. W marcu 2026 wydało pierwsze Background Security Improvements: małe łatki (tu: na dziurę w WebKicie, CVE-2026-20643) instalowane w tle, bez pełnej aktualizacji systemu i bez restartu. Okno między wydaniem a wdrożeniem skraca się do minimum.

A oto efekt końcowy, czyli ile telefonów faktycznie ma najnowszy system. Uwaga na daty: to ostatnie pomiary, jakie opublikowali producenci. Od tego czasu wyszły już iOS 27 (wrzesień 2026) i Android 17, ale nowych liczb nie podało ani Apple, ani Google.

• iOS 26: 79% wszystkich iPhone’ów i 86% modeli z ostatnich 4 lat (Apple, czerwiec 2026, 9 miesięcy po premierze).
• Android 16: 7,5% urządzeń w próbce Google z grudnia 2025 (6 miesięcy po premierze); w ruchu WWW mierzonym przez StatCounter we wrześniu 2026 – 38%. Różne metody, ale żadna nie zbliża się do Apple.
• Zimperium: w ciągu roku 61% urządzeń z Androidem i 49% z iOS było w pewnym momencie na przestarzałej wersji systemu, a ok. 25% urządzeń w firmach nie da się zaktualizować do najnowszej wersji wcale.

Lekcja nr 4: U źródła Apple i Google łatają w podobnym tempie. Różnica jest w drodze do kieszeni: łatka Apple trafia na 4 z 5 iPhone’ów, łatka Google musi przejść przez producenta, operatora i wersję nakładki. Dlatego jeśli w firmie masz Androidy, polityka „aktualizujemy w 14 dni” musi być wymuszana przez MDM (oprogramowanie do zarządzania telefonami firmowymi), a nie zostawiona użytkownikom.

Ile kosztuje włamanie – cennik czarnego rynku i Pwn2Own

Najuczciwszy wskaźnik bezpieczeństwa to cena. Nie moja opinia, nie marketing – tylko to, ile ktoś jest gotów zapłacić za działający atak. Brokerzy exploitów (firmy skupujące zero-daye dla rządów) publikują cenniki:

• Zerodium, 2019: Android zero-click 2,5 mln $, iOS 2 mln $. Pierwszy raz w historii Android był droższy. Uzasadnienie szefa firmy: rynek zalany exploitami na iOS, głównie na Safari i iMessage, a Google „na spokojnie” utwardził Androida tak, że pełny łańcuch zero-click stał się trudniejszy do zbudowania.
• Operation Zero (Rosja), cennik aktualny: Android 2,5 mln $, iOS 2 mln $. We wrześniu 2023 firma ogłaszała okazjonalnie do 20 mln $ za pełne łańcuchy na oba systemy. W 2025 roku Amerykanin, były szef działu w L3Harris Trenchant, przyznał się do sprzedania im exploitów – dostał ok. 7 lat.
• Crowdfense (ZEA), 2024: iOS zero-click 5-7 mln $, Android do 5 mln $, Chrome do 3 mln, Safari do 3,5 mln. Cennik nie zmienił się do dziś. Komentarz firmy: „zabezpieczenia wdrażane przez producentów działają” – exploit, który kiedyś pisał jeden człowiek, dziś wymaga zespołu.

Czyli w 2019 droższy był Android, w 2024 droższy jest iOS. Wniosek? Oba systemy są dziś na tyle trudnym celem, że działający łańcuch kosztuje tyle, co dom w Warszawie razy dziesięć. Nikt nie wyda takiej kwoty, żeby ukraść Ci zdjęcia z wakacji – to pieniądze na cele polityczne i wywiadowcze.

Drugi bezstronny pomiar to Pwn2Own – konkurs, w którym najlepsze zespoły na świecie łamią urządzenia na żywo za pieniądze organizatora (Zero Day Initiative):

• Irlandia 2024: Galaxy S24 złamany (łańcuch 5 błędów, nagroda 50 tys. $). Za Pixela 8 i iPhone’a 15 wisiało po 250 tys. $. Nikt nawet nie zgłosił próby.
• Irlandia 2025: Galaxy S25 złamany dwa razy (po 50 tys. $). Za Pixela 9 i iPhone’a 16 oferowano po 300 tys. $ – zero zgłoszeń.
• Irlandia 2026: tu przełom. Pixel 10 padł trzy razy ostatniego dnia, a za jeden z tych łańcuchów Ikotas Labs zgarnęło 300 tys. $ – największą nagrodę całego konkursu. Galaxy S26 złamano 7 razy, w większości z „kolizjami” (błędy, które producent już znał, więc mniejsze nagrody). Na iPhone’a 17 (też 300 tys. $) trzeci rok z rzędu nikt się nie zgłosił. Cały konkurs: 98 zero-dayów i 1,26 mln $ wypłat.

Dlaczego na iPhone’a od trzech lat nikt nie próbuje za 300 tys. dolarów? Bo działający łańcuch jest wart u brokerów około 20 razy więcej – wystawienie go na konkursie to zły interes. Tym ciekawszy jest tegoroczny Pixel: trzy zespoły uznały, że opłaca się go pokazać. Co dokładnie zawiodło, na razie nie wiadomo – szczegóły błędów ZDI ujawnia dopiero po 90 dniach, gdy producent je załata. Samsung z własną nakładką i własnymi aplikacjami ma po prostu więcej kodu, w którym można szukać – i dlatego pada co roku. 😈

Lekcja nr 5: iPhone i Pixel to nadal „hard targets” – cele, na które w realnym ataku stać głównie państwa. Ale tegoroczny Pixel przypomina, że twardy cel to nie nietykalny cel: trudność ataku to nie stała, tylko wyścig, który producent musi wygrywać co roku od nowa. Reszta Androidów plasuje się niżej, proporcjonalnie do ilości własnego kodu producenta i tempa jego łatania. Jeśli dobierasz flotę dla osób narażonych (zarząd, finanse, prawnicy) – to kryterium powinno ważyć więcej niż cena abonamentu.

Ile liczy zespół bezpieczeństwa? Bug bounty i obrona sklepów

Chciałem tu wstawić dwie liczby: ilu inżynierów bezpieczeństwa ma Apple, a ilu Google. Nie dam rady – żadna z firm nie publikuje liczebności zespołów (Apple SEAR, Android Security, Project Zero). Każda liczba, którą znajdziesz w internecie, jest zgadywaniem. Ale są dobre wskaźniki zastępcze: ile obie firmy płacą obcym za znajdowanie dziur i ile śmieci zatrzymują na bramce sklepu.

Bug bounty, czyli ile płacą za dziury

• Apple: od listopada 2025 maksymalna nagroda to 2 mln $ za łańcuch zero-click (wcześniej 1 mln), a z bonusami (ominięcie Lockdown Mode, błędy w wersjach beta) „ponad 5 mln $”. Od startu programu w 2020 Apple wypłaciło ponad 35 mln $ ponad 800 badaczom. W programie Security Research Device (specjalne iPhone’y dla badaczy) mediana wypłaty w 2024 to ok. 18 tys. $, a kilka razy padło po 500 tys. $. W 2026 Apple rozdaje też 1000 iPhone’ów 17 organizacjom społecznym narażonym na spyware.
• Google: w 2025 roku wszystkie programy VRP wypłaciły 17,1 mln $ 747 badaczom (ponad 81 mln $ od 2010). Z tego Android i urządzenia Google – 2,9 mln $ (rok wcześniej 3,3 mln; Chrome dostał 3,7 mln). Od maja 2026 pełny łańcuch zero-click na Pixela z przełamaniem układu Titan M2 i trwałością wart jest 1-1,5 mln $. Google wprost tłumaczy: AI zalało program długimi raportami, więc nagrody idą tam, gdzie błędy są dla AI najtrudniejsze do znalezienia.
• Samsung: do 1 mln $ za zdalne wykonanie kodu w Knox Vault; ponad 4 mln $ wypłacone od 2017.
• Do tego Google utrzymuje Project Zero – zespół, który szuka dziur także u Apple i Samsunga i publicznie rozlicza wszystkich z 90 dni. Apple nie ma publicznego odpowiednika.

Bramka sklepu, czyli ile śmieci nie dociera do telefonu

• App Store, 2025: 9,1 mln sprawdzonych zgłoszeń aplikacji, ponad 2 mln odrzuconych, 193 tys. zamkniętych kont deweloperskich, 2,2 mld $ zablokowanych oszukańczych transakcji, 28 tys. aplikacji zablokowanych na pirackich sklepach.
• Google Play, 2025: 1,75 mln aplikacji łamiących zasady zatrzymanych przed publikacją, 80 tys. zbanowanych kont, Play Protect skanujący 350 mld aplikacji dziennie i 27 mln nowych złośliwych aplikacji wykrytych poza sklepem.

Te liczby mierzą co innego (Apple liczy dolary, Google aplikacje), ale pokazują skalę: obaj giganci prowadzą fabryki odsiewania na poziomie, o którym żaden polski bank czy e-commerce nawet nie marzy. 😈

Lekcja nr 6: Wielkość zespołu nie jest publiczna, ale pieniądze są. Apple płaci więcej za pojedynczy exploit, Google więcej w sumie i szerzej. Jedno i drugie mówi to samo: bezpieczeństwo telefonu to dziś koszt rzędu setek milionów dolarów rocznie. Twoja aplikacja mobilna, pisana przez podwykonawcę w pół roku, tej skali nie ma – i dlatego to w niej, a nie w systemie, najczęściej znajduję dziury na zleceniach.

Malware i phishing: gdzie realnie giną pieniądze

Zero-daye i exploity za miliony to świat wywiadów. Pieniądze zwykłych ludzi i firm giną gdzie indziej – przez złośliwe aplikacje i phishing. I tu obraz jest jednoznaczny, tylko odwrotnie w każdej kategorii.

Malware: Android

• Kaspersky, 2025: 14 mln zablokowanych ataków malware, adware i niechcianego oprogramowania na telefonach (ok. 1,2 mln miesięcznie), 815 tys. nowych złośliwych paczek instalacyjnych i 255 tys. nowych trojanów bankowych – kilkukrotny wzrost rok do roku. Niemal w całości Android.
• Lookout, Q3 2025: wykrycia malware’u na urządzeniach firmowych „w przeważającej większości” dotyczą Androida; w ciągu kwartału 71 tys. złośliwych aplikacji na firmowych telefonach.
• ESET, II półrocze 2025: ataki przez NFC (telefon ofiary „oddaje” kartę płatniczą przestępcy stojącemu przy bankomacie) wzrosły o 87%.
• Polska: CERT Polska w 2025-2026 opisał kolejne kampanie na klientów polskich banków: NGate (podszywa się pod SGB, Santander, PKO, ING, kradnie przez NFC), FvncBot (SGB, Alior, Paribas; udaje „komponent Play”), Cifrat (infrastruktura udająca Booking). Wspólny mianownik: wszystkie to pliki APK instalowane ręcznie na Androidzie po tym, jak ofiara przeszła przez ekran „zezwól na instalację z nieznanych źródeł”.
• Google szacuje, że aplikacje instalowane spoza sklepu niosą ponad 50 razy więcej malware’u niż te z Play. Dlatego od 30 września 2026 (Brazylia, Indonezja, Singapur, Tajlandia) i od 2027 globalnie Android wymaga, żeby każdy deweloper był zweryfikowany – nawet poza sklepem. Zimperium: w firmach co czwarty telefon z Androidem ma zainstalowaną aplikację spoza sklepu.

Dla porządku: iOS nie jest czysty. W lutym 2025 Kaspersky opisał SparkCat – pierwsze znane malware w App Store, które czyta zrzuty ekranu w poszukiwaniu fraz odzyskiwania portfeli kryptowalut. A w Unii od 2024 iPhone też dopuszcza alternatywne sklepy (sześć działających według TechCrunch), choć każda aplikacja nadal przechodzi przez automatyczną i ludzką „notaryzację” Apple. Na razie głośnego incydentu z tych sklepów nie widziałem.

Phishing: iPhone

• Lookout, Q3 2025: próbę phishingu zarejestrowano na 16% urządzeń z iOS i 7,8% z Androidem. W całym 2024: 26% vs 12%. Lookout uczciwie dodaje: iPhone’y dostają w firmach dyrektorzy i finanse, więc są po prostu cenniejszym celem.
• Zimperium, 2026: phishing na telefonach firmowych wzrósł o 380% od stycznia 2025, a spyware wykryto na prawie 1 na 10 urządzeń (4 razy więcej rok do roku).
• Google chwali się badaniem (YouGov, 5 tys. osób w USA, Indiach i Brazylii), według którego użytkownicy Androida o 58% częściej nie dostali ani jednego SMS-a scamowego w tygodniu niż użytkownicy iPhone’a. Badanie zamówił Google, więc traktuję je jak reklamę – ale filtrowanie SMS-ów i rozmów przez AI faktycznie jest dziś mocniejsze po stronie Androida. ⚠️

Lekcja nr 7: Android przegrywa na malware, iPhone na phishingu. Pierwsze da się załatwić polityką („zero aplikacji spoza sklepu” wymuszone przez MDM), drugiego nie da się załatwić telefonem – bo phishing atakuje człowieka, nie system. Na iPhonie Twojego CFO link do „faktury” wygląda tak samo przekonująco jak wszędzie.

Pegasus, Graphite i spółka: kto jest celem

Komercyjne spyware to osobna liga: Pegasus (NSO), Predator (Intellexa), Graphite (Paragon). Jeden fakt, który warto zapamiętać: każde z nich ma wersję na oba systemy. W 2025 Citizen Lab potwierdził Graphite na iPhone’ach dwóch dziennikarzy (zero-click przez iMessage, CVE-2025-43200, iOS 18.2.1) i jednocześnie na Androidach dwóch włoskich aktywistów (zero-click przez WhatsApp). Ten sam klient, obie platformy.

• Apple wysyła powiadomienia o atakach spyware w ponad 150 krajach; sama sierpniowa fala 2026 trafiła do użytkowników w 110 krajach. Liczby odbiorców Apple nie ujawnia.
• Lockdown Mode: w marcu 2026 Apple oświadczyło, że nie zna żadnego udanego ataku komercyjnego spyware’u na iPhone’a z włączonym Lockdown Mode. Niezależnie tego nie zweryfikowano, ale badacze Google widzieli spyware, które po wykryciu Lockdown Mode po prostu się wyłącza.
• Android: analogiczny tryb Advanced Protection pojawił się w Androidzie 16 (2025). Przykład z drugiej strony: spyware LANDFALL wykorzystywało dziurę w przetwarzaniu obrazów Samsunga (CVE-2025-21042) przez ok. 9 miesięcy, zanim trafiła łatka.
• Narzędzia śledcze: według wycieków z Cellebrite z 2024 iPhone’y na iOS 17.4+ były „w badaniu” (nieodblokowywalne), a według wycieku z października 2025 Pixel 9 z GrapheneOS nie da się odczytać wcale – zwykły Pixel owszem. Czyli to, co da się wyciągnąć z zatrzymanego telefonu, zależy bardziej od wersji systemu i konfiguracji niż od logo.

Lekcja nr 8: Jeśli ktoś wyda miliony, żeby włamać się właśnie do Ciebie, system operacyjny Cię nie uratuje. Uratuje Cię konfiguracja – Lockdown Mode / Advanced Protection, aktualizacje w dniu wydania, restart raz dziennie (większość mobilnego spyware’u nie przeżywa restartu) i świadomość, że „nie klikać w linki” już nie wystarcza, bo zero-click nie wymaga kliknięcia.

Mury i furtki: jak działają zabezpieczenia i jak ataki je obchodzą

Na papierze oba systemy bronią się podobnie. Każda aplikacja siedzi w osobnym „pokoju” (sandbox) i nie widzi, co robią inne. Kod musi być podpisany. Telefon przy starcie sprawdza, czy nikt nie podmienił systemu. Pamięć chronią sprzętowe mechanizmy w procesorze. Dobra wiadomość: tych murów praktycznie nikt nie przebija frontalnie. Zła: nikt nie musi. Atakujący szukają furtek – i każdy system ma inne.

iPhone: furtki techniczne za miliony

• BlastDoor kontra „GIF”, który był PDF-em. W iOS 14 Apple zamknęło przetwarzanie wiadomości iMessage w specjalnej piaskownicy BlastDoor. W 2021 roku NSO (twórcy Pegasusa) wysłało ofiarom plik z końcówką .gif, który w środku był PDF-em. iMessage przekazywał GIF-y do procesu działającego poza BlastDoor, a biblioteka graficzna rozpoznawała prawdziwy format i uruchamiała dekoder z dziurą (CVE-2021-30860). W tym dekoderze exploit zbudował z ponad 70 tys. prostych operacji własny, wirtualny komputer. Google Project Zero nazwał to jednym z najbardziej wyrafinowanych technicznie exploitów, jakie widział. A dalsza ucieczka z piaskownicy opierała się wyłącznie na błędach logiki, więc sprzętowe ochrony pamięci, jak przyznał Project Zero, nie miały na nią żadnego wpływu. Mur był dobry. Tylko nie wszystko przez niego przechodziło. Apple załatało to w iOS 14.8, a od iOS 15 GIF-y przetwarza już wewnątrz BlastDoor.
• Operation Triangulation, czyli nieudokumentowany sprzęt. W 2023 roku Kaspersky odkrył, że iPhone’y jego własnych pracowników zainfekowano przez niewidoczną wiadomość iMessage. Łańcuch miał 4 zero-daye, ominął podpisywanie wskaźników (PAC – mechanizm, który ma uniemożliwić przejęcie sterowania programem) i – co najciekawsze – sprzętową ochronę pamięci jądra. Atakujący użyli do tego rejestrów procesora, których nie ma w żadnej dokumentacji i których nie używa nawet oprogramowanie Apple (CVE-2023-38606). Kaspersky nazwał to najbardziej wyrafinowanym atakiem, jaki jego eksperci kiedykolwiek widzieli.
• Kiedy mur wytrzymał: BLASTPASS. We wrześniu 2023 Citizen Lab złapał kolejny zero-click NSO, tym razem przez załączniki Apple Wallet w iMessage. I tu dobra wiadomość: Citizen Lab i Apple zgodnie potwierdzili, że Lockdown Mode blokował ten atak. Tryb wyłącza m.in. większość załączników w Wiadomościach, kompilację JIT w przeglądarce (ulubione wejście exploitów), połączenia od nieznanych, transmisję danych przez kabel przy zablokowanym ekranie oraz instalację profili konfiguracyjnych i MDM.
• Furtka bez exploita: profil MDM. Jeśli nie stać Cię na zero-day, możesz po prostu poprosić. GoldPickaxe (Group-IB, luty 2024) najpierw rozprowadzano przez TestFlight (oficjalną platformę Apple do testów aplikacji), a gdy Apple je usunęło, przestępcy namawiali ofiary w Wietnamie i Tajlandii do zainstalowania profilu MDM – czyli oddania telefonu w zarządzanie obcej „firmie”. Malware prosiło też o nagranie twarzy, z którego robiono deepfake’i do oszukiwania bankowej weryfikacji biometrycznej. Zauważ: Lockdown Mode blokuje właśnie instalację profili MDM.

Android: ułatwienia dostępu, czyli furtka za grosze

Android ma te same mury: sandbox, SELinux, weryfikowany rozruch, Play Protect z AI analizującym zachowanie aplikacji na urządzeniu (od 2024). Ale ma też coś, czego iPhone aplikacjom firm trzecich nie daje: usługi ułatwień dostępu (Accessibility Services).

To API powstało w szczytnym celu – dla osób niewidomych, słabowidzących i z niepełnosprawnością ruchową. Żeby czytnik ekranu mógł przeczytać niewidomemu, co jest na ekranie, a sterowanie przełącznikiem mogło kliknąć za osobę sparaliżowaną, aplikacja musi widzieć wszystko na ekranie i móc klikać za użytkownika. W każdej aplikacji. Także bankowej.

Dla trojana bankowego to klucze do królestwa. Jedno „Zezwól” i aplikacja może:

• czytać wszystko, co wyświetla telefon – loginy, salda, kody SMS – i zapisywać każde naciśnięcie klawisza,
• sama klikać „Zezwól” w kolejnych oknach i nadawać sobie następne uprawnienia,
• przykrywać prawdziwą aplikację fałszywym ekranem logowania albo czarnym ekranem, pod którym coś się dzieje,
• i na końcu sama zrobić przelew w Twojej prawdziwej aplikacji bankowej, na Twoim telefonie. Dla banku wygląda to jak zwykła operacja z zaufanego urządzenia klienta. 😈

To nie teoria. Kilka przykładów z ostatnich lat:

• Anatsa: ok. 150-200 tys. infekcji przez fałszywe czytniki PDF i „czyściki” w oficjalnym Google Play (ThreatFabric, luty 2024). O dostęp do ułatwień dostępu prosiły pod pretekstem „usypiania aplikacji, które zjadają baterię”. W 2025 kolejny dropper udający czytnik PDF zebrał ponad 50 tys. pobrań w USA.
• Crocodilus (ThreatFabric, marzec 2025): przejmuje telefon, a żeby ofiara nie widziała, jak urządzenie samo się obsługuje, wyświetla czarny ekran i wycisza dźwięk.
• Herodotus (ThreatFabric, październik 2025): wpisuje tekst litera po literze z losowymi przerwami od 0,3 do 3 sekund, żeby systemy antyfraudowe banków uznały, że pisze człowiek. Na liście jego fałszywych ekranów jest m.in. Polska.
• FvncBot – nasze podwórko: podszywał się pod „Klucz bezpieczeństwa mBank” (Intel 471, grudzień 2025). CERT Polska (marzec 2026) opisał, jak po instalacji rejestruje usługę ułatwień dostępu nazwaną niewinnie „System Update”, z prawem do czytania zawartości okien i wykonywania gestów. Dalej: rejestrowanie klawiszy, fałszywe ekrany, transmisja obrazu i zdalne sterowanie telefonem. Dla porządku: nie każdy polski trojan działa tak samo – opisany wyżej NGate kradnie przez NFC i ułatwień dostępu nie potrzebuje.

Google o tym wie i od lat gra z przestępcami w kotka i myszkę:

• Android 13 (2022): aplikacja zainstalowana z pobranego pliku APK nie może poprosić o ułatwienia dostępu – opcja jest wyszarzona.
• Odpowiedź przestępców (2023): ThreatFabric opisał SecuriDropper – aplikację-pośrednika, która instaluje właściwe malware tą samą metodą co sklep z aplikacjami. System nie odróżnia jednego od drugiego, więc blokada nie działa. FvncBot w 2025 robił dokładnie to samo.
• Android 15 i 16: ograniczenia objęły kolejne wrażliwe uprawnienia, a od grudnia 2025 Google Play odrzuca aplikacje, które udają narzędzia dla osób z niepełnosprawnościami, a nimi nie są. Play Protect blokuje je też na telefonach.
• Android 17: włączenie trybu Advanced Protection automatycznie odbiera dostęp do ułatwień dostępu wszystkim aplikacjom, które nie są prawdziwymi narzędziami dostępności (czytniki ekranu, sterowanie przełącznikami, głosem, Braille). Haczyk: tylko jeśli ten tryb włączysz. Stracą go też np. menedżery haseł i aplikacje do automatyzacji.

iPhone takiego problemu nie ma z prostego powodu: aplikacje firm trzecich nie dostają API, które pozwala czytać inne aplikacje i klikać za użytkownika. VoiceOver jest częścią systemu. To jeden z głównych powodów, dla których mobilne trojany bankowe to niemal wyłącznie Android.

Praktyczny test na 30 sekund: wejdź w Ustawienia → Ułatwienia dostępu i sprawdź listę pobranych/zainstalowanych aplikacji z włączonym dostępem. Jeśli widzisz tam cokolwiek poza narzędziem, którego świadomie używasz (czytnik ekranu, sterowanie głosem), a zwłaszcza „aktualizację systemu”, „czytnik PDF” albo „klucz bezpieczeństwa banku” – odłącz telefon od internetu i zadzwoń do banku. Aplikacja bankowa tego uprawnienia nie potrzebuje. ⚠️

Lekcja nr 9: Mury są dziś wysokie w obu systemach. Do iPhone’a wchodzi się furtkami technicznymi wartymi miliony – przez egzotyczne formaty plików i nieudokumentowane rejestry procesora. Do Androida przestępca częściej wchodzi furtką ludzką za grosze: jedno kliknięcie „Zezwól” w ułatwieniach dostępu daje mu więcej niż exploit za milion dolarów. Dlatego na Androidzie edukacja i blokada instalacji spoza sklepu są ważniejsze niż model telefonu.

Werdykt: tabela punktowa

Moja subiektywna ocena – ale każda rubryka opiera się na liczbach wyżej. „Android” oznacza tu Pixela lub Samsunga z pełnym wsparciem; no-name z marketu przegrywa w każdej rubryce z obydwoma.

Jeśli muszę to streścić do jednego zdania: iPhone jest bezpieczniejszy „z pudełka” dla człowieka, który nic nie konfiguruje; dobrze zarządzany Pixel lub Samsung z MDM jest co najmniej równie bezpieczny dla firmy, która konfiguruje. A najgorszy wybór to Android bez wsparcia aktualizacji – niezależnie od ceny.

7 rzeczy do zrobienia niezależnie od systemu

1. Aktualizacje automatyczne, włączone, sprawdzone. Jedyny parametr, który w tym wpisie różni platformy dziesięciokrotnie. Na Androidzie w firmie: wymuszane przez MDM z terminem.
2. Zero aplikacji spoza sklepu. 50 razy więcej malware’u. Jeśli nie masz MDM, wyłącz „nieznane źródła” i włącz Auto Blocker (Samsung) albo Play Protect. Raz na jakiś czas sprawdź, które aplikacje mają dostęp do ułatwień dostępu. Na iPhonie – nie instaluj profili konfiguracyjnych ani MDM z linków.
3. Lockdown Mode / Advanced Protection dla zarządu, finansów, prawników, HR. Tak, część rzeczy przestanie działać. To jest cena.
4. Restart raz dziennie. Brzmi głupio, działa na większość mobilnego spyware’u, który nie ma trwałości.
5. Kupuj po długości wsparcia, nie po aparacie. 7 lat (Pixel, Galaxy S) albo iPhone. Telefon bez aktualizacji to po 2 latach telefon z publicznym cennikiem exploitów za darmo.
6. Procedury odporne na phishing. iPhone prezesa dostanie link tak samo jak Android magazyniera. Zmiana rachunku kontrahenta, nietypowy przelew, „pilne” od szefa – zawsze drugi kanał i druga osoba.
7. Przetestuj własną aplikację mobilną. Jeśli Twoja firma wydaje aplikację na iOS lub Androida, to ona – nie system – jest najsłabszym ogniwem. Apple i Google wydają setki milionów rocznie na swoją część; Twoja część kosztuje kilka dni testów. Jeśli chcesz wiedzieć ile dokładnie, policz w kalkulatorze, a gdy wolisz porozmawiać – odezwij się.

FAQ

Czy iPhone jest bezpieczniejszy niż Android?

„Z pudełka” – tak: szybsze dotarcie łatek do urządzeń (79% iPhone’ów na iOS 26 wobec 7,5-38% Androidów na Androidzie 16), brak masowego malware’u i jeden zamknięty sklep. Ale dobrze zarządzany Pixel lub Samsung z 7-letnim wsparciem i MDM jest dla firmy równie bezpieczny, a tańsze Androidy bez wsparcia przegrywają z obydwoma.

Ile podatności (CVE) ma Android, a ile iOS?

Według Zimperium w 2024 roku Android miał 501 CVE, iOS 317. Liczby nie są w pełni porównywalne: do Androida wlicza się komponenty Qualcomma, MediaTeka i innych firm, a Android jako open source jest przeszukiwany przez więcej badaczy.

Ile kosztuje exploit na iPhone’a i Androida?

Crowdfense (cennik 2024, aktualny) płaci do 5-7 mln $ za łańcuch zero-click na iOS i do 5 mln $ na Androida. Rosyjskie Operation Zero płaci 2 mln $ za iOS i 2,5 mln $ za Androida. W 2019 Zerodium wyceniało Androida wyżej (2,5 vs 2 mln $).

Jak szybko Apple i Google łatają podatności?

Według Google Project Zero (2019-2021) iOS potrzebował średnio 70 dni od zgłoszenia do łatki, Pixel i Samsung po 72. Różnica jest w dotarciu łatki do użytkowników: Apple aktualizuje niemal całą bazę w kilka miesięcy, aktualizacje Androida zależą od producenta telefonu.

Czy iPhone’a da się zhakować bez kliknięcia?

Tak. Ataki zero-click (np. Graphite firmy Paragon przez iMessage w 2025, CVE-2025-43200) istnieją na oba systemy. Chronią przed nimi Lockdown Mode (iOS) i Advanced Protection (Android 16) oraz natychmiastowe aktualizacje. Apple twierdzi, że nie zna udanego ataku spyware’u na telefon z Lockdown Mode.

Dlaczego ułatwienia dostępu w Androidzie są niebezpieczne?

Usługi ułatwień dostępu (Accessibility Services) powstały dla osób z niepełnosprawnościami, więc pozwalają aplikacji czytać wszystko na ekranie i klikać za użytkownika. Trojany bankowe, takie jak Anatsa, Herodotus czy wymierzony w Polaków FvncBot, nakłaniają ofiarę do włączenia tego dostępu, a potem kradną hasła i same wykonują przelewy w prawdziwej aplikacji bankowej. Android 13 i nowsze utrudniają to aplikacjom spoza sklepu, a Android 17 z trybem Advanced Protection odbiera ten dostęp aplikacjom, które nie są narzędziami dostępności. iOS nie daje takiego API aplikacjom firm trzecich.

Który telefon wybrać do firmy?

iPhone albo Android z gwarantowanym wsparciem 7 lat (Pixel 8+, Galaxy S24+), zawsze pod MDM, z wymuszonymi aktualizacjami i zakazem instalacji spoza sklepu. Dla zarządu i finansów – tryb Lockdown / Advanced Protection.

Podsumowanie

Przez lata ta dyskusja wyglądała jak kibicowanie. Liczby pokazują coś nudniejszego i ciekawszego zarazem: u źródła Apple i Google grają dziś w tej samej lidze – łatają w podobnym tempie, płacą miliony za dziury, a ich flagowce stały się celami, na które stać tylko państwa. Różnice są dalej: w tym, ile telefonów faktycznie dostaje łatkę, skąd użytkownik instaluje aplikacje i kto trzyma telefon w ręku. iPhone wygrywa u ludzi, którzy nie konfigurują. Android wygrywa u firm, które konfigurują – pod warunkiem, że kupiły telefon ze wsparciem. A przegrywa zawsze ten, kto nie aktualizuje. 🔓

Jeśli chcesz zobaczyć, jak Twoja aplikacja mobilna albo flota telefonów wygląda z perspektywy atakującego – wiesz, gdzie mnie znaleźć.

Źródła danych użytych we wpisie

• StatCounter – udział systemów mobilnych na świecie i w Polsce (09.2026)
• Google – polityka aktualizacji Pixel (support.google.com); Samsung / 9to5Google – 7 lat wsparcia Galaxy S25 (01.2025); Apple – iOS 26 security content (09.2025)
• Zimperium – Global Mobile Threat Report 2025 (04.2025) i komunikat o raporcie 2026 (07.2026)
• Google Security Blog – „Eliminating memory safety vulnerabilities at the source” (09.2024); Google – „Rust in Android: move fast and fix things” (11.2025)
• Apple Security Research – „Memory Integrity Enforcement” (09.2025); „A major evolution of Apple Security Bounty” (10.2025)
• Google Threat Intelligence Group – „2024 Zero-Day Trends” (04.2025) i „2025 Zero-Day Review” (03.2026); SecurityWeek – podsumowanie (03.2026)
• Google Project Zero – „A walk through Project Zero metrics” (02.2022); Reporting Transparency 2025 (stan 17.03.2026)
• Android Security Bulletin – lipiec 2025 i grudzień 2025; Android Authority – system aktualizacji opartych na ryzyku (09.2025); SecurityWeek (07.2025); BleepingComputer (12.2025)
• Help Net Security – pierwsze Background Security Improvements Apple (03.2026); Apple / 9to5Mac – iOS 26.7.1, CVE-2026-86950 (28.09.2026); Android Security Bulletin – październik 2026; MacRumors – premiera iOS 27 (09.2026)
• Apple / MacRumors – adopcja iOS 26 (06.2026); Google / 9to5Google – dystrybucja wersji Androida (01.2026); StatCounter – wersje Androida (09.2026)
• Crowdfense – Exploit Acquisition Program; TechCrunch (04.2024); Operation Zero – cennik (opzero.ru); TechCrunch (09.2023); Threatpost – Zerodium (09.2019); CyberScoop / The Hacker News – sprawa Petera Williamsa (2025-2026)
• Zero Day Initiative – wyniki Pwn2Own Ireland 2024, 2025 i 2026; BleepingComputer (09.10.2026); Privacy Guides (13.10.2026); SecurityWeek (10.2024)
• Google – VRP 2024 (03.2025) i VRP 2025 (03.2026); SecurityWeek – podział na programy (03.2026) i zmiany Android VRP (05.2026); Samsung Newsroom (11.2024)
• Apple Newsroom – App Store fraud prevention 2025 (05.2026); Google – „How we kept Google Play safe in 2025” (02.2026)
• Kaspersky Securelist – „Mobile malware evolution in 2025” (03.2026) i 2024 (03.2025); Lookout – Q3 2025 Mobile Threat Landscape; Lookout / Business Wire (04.2025, 01.2026); ESET Threat Report H2 2025 (12.2025)
• CERT Polska – analizy NGate (11.2025), FvncBot (03.2026), Cifrat (04.2026)
• Android Developers Blog – weryfikacja deweloperów (08.2025, 06.2026); TechCrunch – alternatywne sklepy w UE (03.2025); Apple – dystrybucja aplikacji w UE
• Google – „How Android provides the most effective protection…” (10.2025, badanie zamówione przez Google)
• Citizen Lab – Report 186, Paragon Graphite (06.2025); Apple Support – powiadomienia o zagrożeniach; The Hacker News (08.2026); TechCrunch – Lockdown Mode (03.2026); The Record / Unit 42 – LANDFALL (11.2025)
• 404 Media / TechSpot – wycieki Cellebrite (07.2024, 10.2025); Android Authority (10.2025)
• Google Project Zero – „A deep dive into an NSO zero-click iMessage exploit” (12.2021) i „FORCEDENTRY: Sandbox Escape” (03.2022); SecurityWeek (12.2021)
• Kaspersky – Operation Triangulation (06.2023); Securelist – „The last (hardware) mystery” (12.2023)
• Citizen Lab – BLASTPASS (09.2023); Apple – Lockdown Mode (Newsroom 07.2022, Personal Safety User Guide)
• Group-IB – GoldPickaxe / GoldFactory (02.2024)
• ThreatFabric – SecuriDropper (11.2023), Octo (04.2022), Crocodilus (03.2025), Anatsa (07.2025), Herodotus (10.2025); BleepingComputer – Anatsa (02.2024); The Hacker News – Hook v3 (08.2025)
• Google Security Blog – Android 15 i Play Protect live threat detection (05.2024); Android Developers Blog – ochrona API ułatwień dostępu (12.2025); The Hacker News – Android 17 Advanced Protection a ułatwienia dostępu (03.2026, 10.2026)
• Intel 471 – FvncBot (12.2025); CERT Polska – analiza FvncBot (03.2026)