Android vs iPhone: कौन ज़्यादा सुरक्षित है? CVE, zero-day, exploit की कीमतें और पैच की रफ़्तार – आंकड़ों में (2026)

एक काम करने वाले zero-click exploit के लिए iPhone पर ब्रोकर आज 7 मिलियन डॉलर तक चुकाते हैं। Android पर वैसे ही exploit के लिए – 5 मिलियन तक। मामला ख़त्म, iPhone ज़्यादा सुरक्षित? इतनी जल्दी नहीं। 2019 में ठीक उल्टा था: Zerodium Android के लिए 2.5 मिलियन और iOS के लिए 2 मिलियन देता था, और उसके प्रमुख ने समझाया था कि बाज़ार में iPhone के exploits की बाढ़ आई हुई है। 💥

“Michał, ज़्यादा सुरक्षित क्या है: iPhone या Android?” – यह सवाल मुझसे बार-बार पूछा जाता है। दोस्तों से, क्लाइंट्स से, उन CEO से जो अभी-अभी कंपनी के सारे फ़ोन बदल रहे हैं। और मेरा जवाब हमेशा एक ही होता है: निर्भर करता है कि आप माप क्या रहे हैं। क्योंकि इस बहस में राय सबके पास है, आंकड़े बहुत कम लोगों के पास।

इसलिए मैंने वही किया जो मुझे सबसे ज़्यादा पसंद है: ठोस डेटा एक जगह इकट्ठा किया। कमज़ोरियों (CVE) की संख्या, असली हमलों में इस्तेमाल हुए zero-day, पैच करने की रफ़्तार, काले बाज़ार में exploits की कीमतें, हैकिंग प्रतियोगिताओं के नतीजे, malware और phishing के आंकड़े, bug bounty प्रोग्राम। साथ में एक छोटा-सा जायज़ा कि दोनों सिस्टम की सुरक्षा कैसे काम करती है और असली हमलों ने उसे कैसे चकमा दिया – इसमें यह भी कि दिव्यांग लोगों के लिए बनाया गया एक फ़ीचर आज Android पर चोरों का पसंदीदा औज़ार क्यों है। हर आंकड़े का स्रोत और तारीख़ है (सूची आख़िर में)। और अंत में – फ़ैसला और 7 काम, जो हर किसी को करने चाहिए, चाहे फ़ोन पर कोई भी लोगो हो।

विषय-सूची

1. तुलना से पहले: एक सेब बनाम सेबों से भरा बोरा
2. Android में कितने CVE हैं और iOS में कितने?
3. असली हमलों में zero-day: 2025 में मोबाइल डिवाइस पर 15
4. कमज़ोरियाँ कितनी जल्दी पैच होती हैं? Apple बनाम Google
5. सेंध लगाने की कीमत क्या है – काले बाज़ार की रेट लिस्ट और Pwn2Own
6. सिक्योरिटी टीम कितनी बड़ी है? Bug bounty और ऐप स्टोर की सुरक्षा
7. Malware और phishing: असल में पैसा कहाँ डूबता है
8. Pegasus, Graphite और बाक़ी: निशाने पर कौन है
9. दीवारें और चोर दरवाज़े: हमले सुरक्षा को कैसे चकमा देते हैं (और ऐक्सेसिबिलिटी फ़ीचर ख़तरनाक क्यों हैं)
10. फ़ैसला: स्कोर टेबल
11. 7 काम, जो हर सिस्टम पर करने चाहिए
12. FAQ

तुलना से पहले: एक सेब बनाम सेबों से भरा बोरा

शुरुआत में एक ईमानदार बात, क्योंकि इसके बिना पूरी तुलना बेईमानी होगी। iPhone का मतलब है एक निर्माता, एक सिस्टम और एक ऐप स्टोर। “Android” का मतलब है Google का Pixel, अपनी स्किन और अपने सिक्योरिटी बुलेटिन वाला Samsung, Xiaomi, Motorola, और आख़िर में सुपरमार्केट से लगभग 100 यूरो में ख़रीदा गया सस्ता फ़ोन, जिसे आख़िरी अपडेट लॉन्च के दिन ही मिला था। यानी हम एक सेब की तुलना अलग-अलग ताज़गी वाले सेबों से भरे पूरे बोरे से कर रहे हैं।

पैमाना भी बराबर नहीं है। दुनिया भर में Android के पास 69% बाज़ार है, iOS के पास 31% (StatCounter, सितंबर 2026)। पोलैंड में अनुपात ज़्यादा क़रीब है: 64% Android, 36% iOS। बड़ा हिस्सा यानी बड़े पैमाने के अपराध के लिए बड़ा चुंबक – अपराधी बैंकिंग ट्रोजन वहीं लिखता है जहाँ संभावित शिकार सबसे ज़्यादा हों।

और एक बात सपोर्ट की, क्योंकि यही तय करता है कि पैच आप तक पहुँचेगा भी या नहीं:

• Pixel 8 और नए: 7 साल तक सिस्टम और सिक्योरिटी अपडेट (Pixel 6/7: 5 साल)।
• Samsung Galaxy S24/S25: 7 साल।
• सस्ते Android: निर्माता और मॉडल पर निर्भर, आमतौर पर फ़्लैगशिप से साफ़ तौर पर कम। ख़रीदने से पहले निर्माता की वेबसाइट पर अपडेट की घोषित अवधि ज़रूर देखें।
• iPhone: Apple सालों की कोई संख्या का वादा नहीं करता। लेकिन 14 सितंबर 2026 को जारी iOS 27 अब भी 2019 के iPhone 11 पर चलता है – यानी व्यवहार में लगभग 7 साल।

सबक़ #1: “Android या iPhone” वाला सवाल ही ग़लत है। सही सवाल है: “कौन-सा Android?”। 7 साल के सपोर्ट वाला Pixel और दो साल वाला no-name फ़ोन दो अलग दुनियाएँ हैं, भले ही दोनों का नाम Android हो।

Android में कितने CVE हैं और iOS में कितने?

ग़ैर-तकनीकी पाठकों के लिए: CVE कमज़ोरियों का एक सार्वजनिक कैटलॉग है – हर उजागर हुई ख़ामी को एक नंबर मिलता है, ताकि सब एक ही गड़बड़ी के बारे में बात करें। इसके बारे में मैंने 2026 के साइबर ख़तरे – आंकड़ों में (अंग्रेज़ी में) वाले पोस्ट में विस्तार से लिखा था।

Zimperium ने अपनी Global Mobile Threat Report 2025 में गिनती की: 2024 में Android को 501 CVE मिले, iOS को – 317। उससे भी दिलचस्प है zero-day की संख्या, यानी वे ख़ामियाँ जिनका हमलों में इस्तेमाल पैच आने से पहले हो गया: Android में 2022 / 2023 / 2024 में 41 / 97 / 12, iOS में क्रमशः 5 / 20 / 5।

पहली प्रतिक्रिया: “Android में ज़्यादा छेद हैं”। दूसरी प्रतिक्रिया, पेंटेस्टर वाली: CVE की संख्या इस बारे में ज़्यादा बताती है कि कौन कैसे गिनता है और कितने लोग खोज रहे हैं, न कि सिस्टम कितना सुरक्षित है। क्यों?

• Android के CVE में थर्ड-पार्टी कंपोनेंट भी गिने जाते हैं: मॉडेम, Qualcomm और MediaTek के चिप। Google अपने बुलेटिन में दूसरों की गड़बड़ियाँ भी पैच करता है। Apple अपने चिप ख़ुद डिज़ाइन करता है और अलग तरीक़े से गिनता है।
• Android open source है – कोई भी कोड देख सकता है और बग रिपोर्ट कर सकता है। बंद iOS में ख़ामियाँ ढूँढना मुश्किल है, इसलिए उनमें से कुछ को कभी नंबर ही नहीं मिलता।
• 2025 से Google ने बुलेटिन की लय बदल दी है (इसके बारे में थोड़ी देर में), इसलिए ख़ुद Android में भी साल-दर-साल तुलना उलझी हुई हो गई है। अंदाज़ा लगाने के लिए: 2025 की पहली छमाही में Android Security Bulletin ने लगभग 270 कमज़ोरियाँ पैच कीं, सिर्फ़ दिसंबर 2025 के बुलेटिन ने – 107। Apple ने iOS 26.0 में 27 CVE पैच किए (SecurityWeek के मुताबिक़; Apple की अपनी सूची में ज़्यादा एंट्री हैं, क्योंकि एक ख़ामी कई कंपोनेंट से जुड़ी हो सकती है)।

कच्ची संख्या से कहीं ज़्यादा दिलचस्प है बग की क्वालिटी। Google सालों से Android की कमज़ोरियों में मेमोरी बग (ख़ामियों की वह श्रेणी, जिससे ज़्यादातर exploits बनते हैं) का हिस्सा प्रकाशित करता है: 2019 में 76%, 2024 में 24% और 2025 में 20% से कम। इसका श्रेय Rust को जाता है – Android में अब इस भाषा में लगभग 5 मिलियन लाइन कोड है, और Google के मुताबिक़ इसमें प्रति मिलियन लाइन C/C++ की तुलना में लगभग 1000 गुना कम मेमोरी बग होते हैं। Apple ने सितंबर 2025 में iPhone 17 में Memory Integrity Enforcement (MIE) से जवाब दिया: हमेशा चालू रहने वाली हार्डवेयर मेमोरी टैगिंग, जिसे Apple “कंज़्यूमर ऑपरेटिंग सिस्टम के इतिहास में मेमोरी सुरक्षा का सबसे अहम अपग्रेड” कहता है। Google के पास 2023 में ही Pixel 8 में हार्डवेयर MTE था, लेकिन एक विकल्प के तौर पर; Apple ने इसे हर किसी के लिए डिफ़ॉल्ट रूप से चालू कर दिया। ✔️

सबक़ #2: CVE की संख्या देखकर फ़ोन मत ख़रीदिए। यह देखकर ख़रीदिए कि निर्माता बग की पूरी श्रेणियाँ ख़त्म करने में निवेश करता है या नहीं – और यहाँ दोनों दिग्गजों ने पिछले दो सालों में पिछले पूरे दशक से ज़्यादा किया है।

असली हमलों में zero-day: 2025 में मोबाइल डिवाइस पर 15

सबसे सख़्त पैमाना यह नहीं कि “कितनी ख़ामियाँ मिलीं”, बल्कि यह कि “पैच आने से पहले कितनी ख़ामियाँ लोगों के ख़िलाफ़ इस्तेमाल हुईं”। Google Threat Intelligence Group हर साल इसकी गिनती करता है:

• 2025: हमलों में इस्तेमाल हुए 90 zero-day (2024: 78, 2023: 100)। इनमें से 15 मोबाइल प्लेटफ़ॉर्म पर (2024: 9, 2023: 17)।
• कंपनियों के हिसाब से (सभी प्रोडक्ट, सिर्फ़ फ़ोन नहीं): Microsoft 25, Google 11, Apple 8।
• एक साथ कई zero-day वाली chains लगभग पूरी तरह (क़रीब 90%) फ़ोन को निशाना बनाती हैं। 2025 में तीन या उससे ज़्यादा बग वाली chains पिछले साल से ज़्यादा आम थीं – क्योंकि सुरक्षा को भेदने के लिए अब एक अकेली ख़ामी काफ़ी नहीं है।
• Google ने प्लेटफ़ॉर्म के हिसाब से सिर्फ़ एक बँटवारा बताया: 2024 में 7 zero-day Android से जुड़े थे, जिनमें 3 थर्ड-पार्टी कंपोनेंट में थे। iOS के लिए Google ने ऐसी कोई संख्या प्रकाशित नहीं की।
• माप के इतिहास में पहली बार देशों के जासूसी समूहों से ज़्यादा zero-day कमर्शियल spyware बनाने वालों के नाम दर्ज हुए।
• iOS से ताज़ा उदाहरण: 28 सितंबर 2026 को Apple ने iOS 26.7.1 जारी किया, जिसमें CoreGraphics की एक ख़ामी (CVE-2026-86950) का पैच था, जिसका Apple के मुताबिक़ iOS 27 से पुराने वर्ज़न पर कुछ ख़ास लोगों के ख़िलाफ़ “बेहद परिष्कृत हमले” में इस्तेमाल हुआ हो सकता है। इसके उलट: Android के अक्टूबर बुलेटिन (25 CVE) में किसी ख़ामी को सक्रिय रूप से इस्तेमाल होती हुई नहीं बताया गया। एक महीना कुछ साबित नहीं करता – लेकिन यह अच्छे से दिखाता है कि “iPhone में zero-day नहीं होते” एक मिथक है।

उसी रिपोर्ट की सलाह एक वाक्य जितनी है, इसलिए मैं इसे दोहराता हूँ: Android पर Advanced Protection (Android 16 से) या iPhone पर Lockdown Mode चालू कीजिए। ये “हाई-रिस्क लोगों के लिए” मोड हैं, लेकिन किसी CEO, वकील या पत्रकार के लिए आज ये बस एक समझदारी भरी सेटिंग हैं।

सबक़ #3: zero-day की दुनिया में दोनों सिस्टम निशाने पर हैं, और फ़र्क़ उतना बड़ा नहीं जितना इंटरनेट बताता है। मायने बग से ज़्यादा इस बात के हैं कि उनसे एक काम करने वाला हमला जोड़ने में कितना ख़र्च आता है – और इसकी बात थोड़ी देर में।

कमज़ोरियाँ कितनी जल्दी पैच होती हैं? Apple बनाम Google

सबसे अच्छा स्वतंत्र माप Google Project Zero के पास है – एक टीम जो सभी निर्माताओं (Google समेत) को बग रिपोर्ट करती है और सार्वजनिक रूप से गिनती है कि पैच में कितने दिन लगे। समय-सीमा 90 दिन है।

2019-2021 के लिए: iOS औसतन 70 दिन, Pixel 72, Samsung 72। यानी बराबरी। 2025 की टेबल में (मार्च 2026 की स्थिति) Apple की एक भी रिपोर्ट नहीं है, इसलिए तुलना संभव नहीं; Pixel 10 को 73, 98 और 98 दिन लगे (दो बार समय-सीमा के बाद), Samsung ने इमेज कोडेक औसतन 49 दिनों में पैच किए। उसी सूची से एक दिलचस्प बात: ब्राउज़र। Chrome को रिपोर्ट से यूज़र्स तक फ़िक्स पहुँचाने में 30 दिन लगे, WebKit (Safari का इंजन) को – 73। Apple पैच जल्दी बनाता है, लेकिन जारी अपनी लय में करता है।

बस इतना है कि “निर्माता द्वारा जारी पैच” और “आपके फ़ोन पर पैच” एक ही चीज़ नहीं हैं। और असली फ़र्क़ यहीं से शुरू होता है:

Android ने लय बदल दी। दस साल तक Google हर महीने पैच वाला बुलेटिन जारी करता रहा। जुलाई 2025 में इतिहास का पहला ख़ाली बुलेटिन आया, और सितंबर 2025 से “रिस्क-आधारित” सिस्टम चल रहा है: हर महीने सिर्फ़ वे ख़ामियाँ जो सक्रिय रूप से इस्तेमाल हो रही हैं या जानी-मानी chains का हिस्सा हैं, बाक़ी बड़े तिमाही रिलीज़ में। पार्टनर्स को कोड कुछ महीने पहले मिल जाता है, और 2026 से AOSP का सोर्स कोड साल में दो बार प्रकाशित होता है। Samsung या Pixel के यूज़र के लिए व्यवहार में इससे कोई फ़र्क़ नहीं पड़ता। वैकल्पिक सिस्टम (जैसे GrapheneOS) बनाने वालों के लिए यह समस्या है – पैच उन तक देर से पहुँचते हैं।

Apple उल्टी दिशा में गया। मार्च 2026 में उसने पहले Background Security Improvements जारी किए: छोटे पैच (इस मामले में: WebKit की एक ख़ामी, CVE-2026-20643 के लिए) जो बैकग्राउंड में इंस्टॉल होते हैं, बिना पूरे सिस्टम अपडेट और बिना रीस्टार्ट के। रिलीज़ और इंस्टॉल के बीच की खिड़की न्यूनतम हो जाती है।

और अब अंतिम नतीजा, यानी कितने फ़ोन में वाक़ई सबसे नया सिस्टम है। तारीख़ों पर ध्यान दीजिए: ये निर्माताओं के प्रकाशित किए गए आख़िरी माप हैं। तब से iOS 27 (सितंबर 2026) और Android 17 आ चुके हैं, लेकिन न Apple ने नए आंकड़े दिए हैं, न Google ने।

• iOS 26: सभी iPhone का 79% और पिछले 4 साल के मॉडल का 86% (Apple, जून 2026, लॉन्च के 9 महीने बाद)।
• Android 16: Google के दिसंबर 2025 के सैंपल में 7.5% डिवाइस (लॉन्च के 6 महीने बाद); सितंबर 2026 में StatCounter द्वारा मापे गए वेब ट्रैफ़िक में – 38%। तरीक़े अलग हैं, लेकिन कोई भी Apple के क़रीब नहीं पहुँचता।
• Zimperium: एक साल के दौरान 61% Android और 49% iOS डिवाइस किसी न किसी समय पुराने सिस्टम वर्ज़न पर थे, और कंपनियों के लगभग 25% डिवाइस को सबसे नए वर्ज़न पर अपडेट किया ही नहीं जा सकता।

सबक़ #4: स्रोत पर Apple और Google लगभग एक ही रफ़्तार से पैच करते हैं। फ़र्क़ जेब तक के रास्ते में है: Apple का पैच 5 में से 4 iPhone तक पहुँचता है, Google के पैच को निर्माता, ऑपरेटर और स्किन के वर्ज़न से होकर गुज़रना पड़ता है। इसलिए अगर आपकी कंपनी में Android हैं, तो “14 दिन में अपडेट” वाली पॉलिसी MDM (कंपनी के फ़ोन मैनेज करने वाला सॉफ़्टवेयर) से लागू करवानी होगी, यूज़र्स के भरोसे नहीं छोड़ी जा सकती।

सेंध लगाने की कीमत क्या है – काले बाज़ार की रेट लिस्ट और Pwn2Own

सुरक्षा का सबसे ईमानदार पैमाना कीमत है। मेरी राय नहीं, मार्केटिंग नहीं – बल्कि यह कि कोई एक काम करने वाले हमले के लिए कितना चुकाने को तैयार है। Exploit ब्रोकर (वे कंपनियाँ जो सरकारों के लिए zero-day ख़रीदती हैं) अपनी रेट लिस्ट प्रकाशित करते हैं:

• Zerodium, 2019: Android zero-click 2.5 मिलियन डॉलर, iOS 2 मिलियन डॉलर। इतिहास में पहली बार Android महँगा था। कंपनी के प्रमुख की दलील: बाज़ार में iOS के exploits की बाढ़ है, ख़ासकर Safari और iMessage के लिए, और Google ने “आराम से” Android को इतना मज़बूत कर दिया कि पूरी zero-click chain बनाना मुश्किल हो गया।
• Operation Zero (रूस), मौजूदा रेट लिस्ट: Android 2.5 मिलियन डॉलर, iOS 2 मिलियन डॉलर। सितंबर 2023 में कंपनी ने कभी-कभार दोनों सिस्टम की पूरी chains के लिए 20 मिलियन डॉलर तक की घोषणा की थी। 2025 में एक अमेरिकी, L3Harris Trenchant के एक डिवीज़न के पूर्व प्रमुख, ने उन्हें exploits बेचने की बात क़बूल की – उसे लगभग 7 साल की सज़ा मिली।
• Crowdfense (UAE), 2024: iOS zero-click 5-7 मिलियन डॉलर, Android 5 मिलियन डॉलर तक, Chrome 3 मिलियन तक, Safari 3.5 मिलियन तक। यह रेट लिस्ट आज तक नहीं बदली। कंपनी की टिप्पणी: “निर्माताओं की लागू की गई सुरक्षा काम कर रही है” – जो exploit कभी एक इंसान लिखता था, उसके लिए आज पूरी टीम चाहिए।

यानी 2019 में Android महँगा था, 2024 में iOS महँगा है। निष्कर्ष? दोनों सिस्टम आज इतने कठिन निशाने हैं कि एक काम करने वाली chain की कीमत वारसॉ में दस घरों जितनी है। आपकी छुट्टियों की तस्वीरें चुराने के लिए कोई इतनी रक़म ख़र्च नहीं करेगा – यह पैसा राजनीतिक और ख़ुफ़िया मक़सदों के लिए है।

दूसरा निष्पक्ष माप है Pwn2Own – एक प्रतियोगिता, जिसमें दुनिया की सबसे अच्छी टीमें आयोजक (Zero Day Initiative) के पैसों के लिए लाइव डिवाइस तोड़ती हैं:

• आयरलैंड 2024: Galaxy S24 टूटा (5 बग की chain, इनाम 50 हज़ार डॉलर)। Pixel 8 और iPhone 15 पर 250 हज़ार डॉलर का इनाम था। किसी ने कोशिश के लिए नाम तक नहीं लिखाया।
• आयरलैंड 2025: Galaxy S25 दो बार टूटा (हर बार 50 हज़ार डॉलर)। Pixel 9 और iPhone 16 के लिए 300 हज़ार डॉलर ऑफ़र थे – शून्य एंट्री।
• आयरलैंड 2026: यहाँ बड़ा मोड़ आया। आख़िरी दिन Pixel 10 तीन बार गिरा, और इनमें से एक chain के लिए Ikotas Labs ने 300 हज़ार डॉलर जीते – पूरी प्रतियोगिता का सबसे बड़ा इनाम। Galaxy S26 को 7 बार तोड़ा गया, ज़्यादातर “collisions” के साथ (ऐसे बग जो निर्माता को पहले से पता थे, इसलिए इनाम कम)। iPhone 17 के लिए (वह भी 300 हज़ार डॉलर) लगातार तीसरे साल किसी ने एंट्री नहीं की। पूरी प्रतियोगिता: 98 zero-day और 1.26 मिलियन डॉलर का भुगतान।

तीन साल से कोई 300 हज़ार डॉलर के लिए iPhone पर कोशिश क्यों नहीं करता? क्योंकि एक काम करने वाली chain ब्रोकरों के पास लगभग 20 गुना ज़्यादा क़ीमती है – उसे प्रतियोगिता में दिखाना घाटे का सौदा है। इसीलिए इस साल का Pixel और भी दिलचस्प है: तीन टीमों को लगा कि उसे दिखाना फ़ायदेमंद है। ठीक-ठीक क्या फ़ेल हुआ, यह अभी पता नहीं – ZDI बग की जानकारी 90 दिन बाद ही खोलता है, जब निर्माता उन्हें पैच कर देता है। अपनी स्किन और अपने ऐप्स वाले Samsung के पास बस ज़्यादा कोड है जिसमें खोजा जा सके – और इसीलिए वह हर साल गिरता है। 😈

सबक़ #5: iPhone और Pixel अब भी “hard targets” हैं – ऐसे निशाने जिन पर असली हमले का ख़र्च ज़्यादातर सिर्फ़ देश उठा सकते हैं। लेकिन इस साल का Pixel याद दिलाता है कि कठिन निशाना अछूता निशाना नहीं होता: हमले की मुश्किल कोई स्थिर चीज़ नहीं, बल्कि एक दौड़ है जिसे निर्माता को हर साल नए सिरे से जीतना होता है। बाक़ी Android नीचे आते हैं, निर्माता के अपने कोड की मात्रा और उसकी पैचिंग की रफ़्तार के अनुपात में। अगर आप जोखिम वाले लोगों (मैनेजमेंट, फ़ाइनेंस, वकील) के लिए फ़ोन चुन रहे हैं – तो इस पैमाने का वज़न प्लान की कीमत से ज़्यादा होना चाहिए।

सिक्योरिटी टीम कितनी बड़ी है? Bug bounty और ऐप स्टोर की सुरक्षा

मैं यहाँ दो संख्याएँ डालना चाहता था: Apple के पास कितने सिक्योरिटी इंजीनियर हैं और Google के पास कितने। नहीं डाल सकता – कोई भी कंपनी अपनी टीमों का आकार प्रकाशित नहीं करती (Apple SEAR, Android Security, Project Zero)। इंटरनेट पर मिलने वाली हर संख्या अंदाज़ा है। लेकिन अच्छे वैकल्पिक संकेतक हैं: दोनों कंपनियाँ बाहरी लोगों को ख़ामियाँ ढूँढने के लिए कितना देती हैं और स्टोर के गेट पर कितना कचरा रोकती हैं।

Bug bounty, यानी ख़ामियों के लिए कितना भुगतान

• Apple: नवंबर 2025 से zero-click chain के लिए अधिकतम इनाम 2 मिलियन डॉलर है (पहले 1 मिलियन), और बोनस के साथ (Lockdown Mode को बायपास करना, बीटा वर्ज़न में बग) “5 मिलियन डॉलर से ज़्यादा”। 2020 में प्रोग्राम शुरू होने से Apple ने 800 से ज़्यादा रिसर्चर्स को 35 मिलियन डॉलर से ज़्यादा दिए हैं। Security Research Device प्रोग्राम (रिसर्चर्स के लिए ख़ास iPhone) में 2024 में औसत (मीडियन) भुगतान लगभग 18 हज़ार डॉलर था, और कई बार 500 हज़ार डॉलर तक मिले। 2026 में Apple spyware के ख़तरे वाले सामाजिक संगठनों को 1000 iPhone 17 भी बाँट रहा है।
• Google: 2025 में सभी VRP प्रोग्राम ने 747 रिसर्चर्स को 17.1 मिलियन डॉलर दिए (2010 से 81 मिलियन डॉलर से ज़्यादा)। इनमें से Android और Google डिवाइस – 2.9 मिलियन डॉलर (एक साल पहले 3.3 मिलियन; Chrome को 3.7 मिलियन)। मई 2026 से Pixel पर Titan M2 चिप को तोड़ने और persistence के साथ पूरी zero-click chain की कीमत 1-1.5 मिलियन डॉलर है। Google साफ़ बताता है: AI ने प्रोग्राम को लंबी-लंबी रिपोर्टों से भर दिया है, इसलिए इनाम वहाँ जाते हैं जहाँ बग AI के लिए सबसे मुश्किल से मिलते हैं।
• Samsung: Knox Vault में रिमोट कोड एक्ज़ीक्यूशन के लिए 1 मिलियन डॉलर तक; 2017 से 4 मिलियन डॉलर से ज़्यादा का भुगतान।
• इसके अलावा Google Project Zero चलाता है – एक टीम जो Apple और Samsung में भी ख़ामियाँ खोजती है और 90 दिन के नियम पर सबका सार्वजनिक हिसाब रखती है। Apple के पास इसका कोई सार्वजनिक समकक्ष नहीं है।

स्टोर का गेट, यानी कितना कचरा फ़ोन तक नहीं पहुँचता

• App Store, 2025: 9.1 मिलियन ऐप सबमिशन की जाँच, 2 मिलियन से ज़्यादा रिजेक्ट, 193 हज़ार डेवलपर अकाउंट बंद, 2.2 बिलियन डॉलर के धोखाधड़ी वाले ट्रांज़ैक्शन ब्लॉक, पाइरेटेड स्टोर पर 28 हज़ार ऐप ब्लॉक।
• Google Play, 2025: नियम तोड़ने वाले 1.75 मिलियन ऐप प्रकाशन से पहले रोके गए, 80 हज़ार अकाउंट बैन, Play Protect रोज़ 350 बिलियन ऐप स्कैन करता है और स्टोर के बाहर 27 मिलियन नए malicious ऐप पकड़े गए।

ये संख्याएँ अलग-अलग चीज़ें मापती हैं (Apple डॉलर गिनता है, Google ऐप), लेकिन पैमाना दिखाती हैं: दोनों दिग्गज छँटाई की ऐसी फ़ैक्टरियाँ चलाते हैं जिनका कोई पोलिश बैंक या ई-कॉमर्स सपना भी नहीं देख सकता। 😈

सबक़ #6: टीम का आकार सार्वजनिक नहीं है, लेकिन पैसा है। Apple एक अकेले exploit के लिए ज़्यादा देता है, Google कुल मिलाकर ज़्यादा और ज़्यादा व्यापक रूप से। दोनों बातें एक ही कहती हैं: फ़ोन की सुरक्षा आज सालाना सैकड़ों मिलियन डॉलर का ख़र्च है। आपका मोबाइल ऐप, जिसे किसी सबकॉन्ट्रैक्टर ने छह महीने में लिखा, उस पैमाने पर नहीं है – और इसीलिए अपने प्रोजेक्ट्स में मुझे ख़ामियाँ सबसे ज़्यादा उसी में मिलती हैं, सिस्टम में नहीं।

Malware और phishing: असल में पैसा कहाँ डूबता है

लाखों डॉलर के zero-day और exploits ख़ुफ़िया एजेंसियों की दुनिया है। आम लोगों और कंपनियों का पैसा कहीं और डूबता है – malicious ऐप्स और phishing के ज़रिए। और यहाँ तस्वीर साफ़ है, बस हर श्रेणी में उल्टी।

Malware: Android

• Kaspersky, 2025: फ़ोनों पर malware, adware और अनचाहे सॉफ़्टवेयर के 14 मिलियन हमले ब्लॉक हुए (लगभग 1.2 मिलियन हर महीने), 815 हज़ार नए malicious इंस्टॉलेशन पैकेज और 255 हज़ार नए बैंकिंग ट्रोजन – साल-दर-साल कई गुना बढ़ोतरी। लगभग सब कुछ Android पर।
• Lookout, Q3 2025: कंपनी के डिवाइस पर malware की पहचान “भारी बहुमत में” Android से जुड़ी है; एक तिमाही में कंपनी के फ़ोनों पर 71 हज़ार malicious ऐप।
• ESET, 2025 की दूसरी छमाही: NFC के ज़रिए हमले (पीड़ित का फ़ोन उसका पेमेंट कार्ड ATM के पास खड़े अपराधी को “सौंप” देता है) 87% बढ़े।
• पोलैंड: CERT Polska ने 2025-2026 में पोलिश बैंकों के ग्राहकों पर एक के बाद एक अभियानों का ब्योरा दिया: NGate (SGB, Santander, PKO, ING बनकर NFC से चोरी करता है), FvncBot (SGB, Alior, Paribas; “Play कंपोनेंट” होने का दिखावा करता है), Cifrat (Booking जैसा दिखने वाला इन्फ्रास्ट्रक्चर)। सबमें एक बात समान: ये सब APK फ़ाइलें हैं जिन्हें Android पर हाथ से इंस्टॉल किया गया, जब पीड़ित ने “अज्ञात स्रोतों से इंस्टॉलेशन की अनुमति दें” वाली स्क्रीन पार की।
• Google का अनुमान है कि स्टोर के बाहर से इंस्टॉल किए गए ऐप्स में Play वाले ऐप्स की तुलना में 50 गुना से ज़्यादा malware होता है। इसीलिए 30 सितंबर 2026 से (ब्राज़ील, इंडोनेशिया, सिंगापुर, थाईलैंड) और 2027 से दुनिया भर में Android यह माँग करता है कि हर डेवलपर वेरिफ़ाइड हो – स्टोर के बाहर भी। Zimperium: कंपनियों में हर चौथे Android फ़ोन पर स्टोर के बाहर से इंस्टॉल किया गया ऐप है।

पूरी तस्वीर के लिए: iOS भी साफ़-सुथरा नहीं है। फ़रवरी 2025 में Kaspersky ने SparkCat के बारे में बताया – App Store में पहला ज्ञात malware, जो क्रिप्टो वॉलेट की रिकवरी फ़्रेज़ ढूँढने के लिए स्क्रीनशॉट पढ़ता है। और यूरोपीय संघ में 2024 से iPhone भी वैकल्पिक स्टोर की अनुमति देता है (TechCrunch के मुताबिक़ छह चालू हैं), हालाँकि हर ऐप अब भी Apple की ऑटोमैटिक और इंसानी “notarization” से गुज़रता है। अभी तक मैंने इन स्टोर से कोई बड़ी घटना नहीं देखी।

Phishing: iPhone

• Lookout, Q3 2025: phishing की कोशिश 16% iOS डिवाइस और 7.8% Android डिवाइस पर दर्ज हुई। पूरे 2024 में: 26% बनाम 12%। Lookout ईमानदारी से जोड़ता है: कंपनियों में iPhone डायरेक्टर्स और फ़ाइनेंस के लोगों को मिलते हैं, इसलिए वे बस ज़्यादा क़ीमती निशाना हैं।
• Zimperium, 2026: जनवरी 2025 से कंपनी के फ़ोनों पर phishing 380% बढ़ा, और spyware लगभग हर 10 में से 1 डिवाइस पर मिला (साल-दर-साल 4 गुना ज़्यादा)।
• Google एक सर्वे का हवाला देता है (YouGov, अमेरिका, भारत और ब्राज़ील में 5 हज़ार लोग), जिसके मुताबिक़ Android यूज़र्स के साथ iPhone यूज़र्स की तुलना में 58% ज़्यादा बार ऐसा हुआ कि हफ़्ते भर में एक भी स्कैम SMS नहीं आया। सर्वे Google ने करवाया था, इसलिए मैं इसे विज्ञापन मानता हूँ – लेकिन AI से SMS और कॉल की फ़िल्टरिंग आज वाक़ई Android की तरफ़ ज़्यादा मज़बूत है। ⚠️

सबक़ #7: Android malware में हारता है, iPhone phishing में। पहले को पॉलिसी से सुलझाया जा सकता है (MDM से लागू “स्टोर के बाहर से एक भी ऐप नहीं”), दूसरे को फ़ोन से नहीं सुलझाया जा सकता – क्योंकि phishing इंसान पर हमला करता है, सिस्टम पर नहीं। आपके CFO के iPhone पर “इनवॉइस” वाला लिंक उतना ही भरोसेमंद लगता है जितना कहीं और।

Pegasus, Graphite और बाक़ी: निशाने पर कौन है

कमर्शियल spyware एक अलग लीग है: Pegasus (NSO), Predator (Intellexa), Graphite (Paragon)। याद रखने लायक़ एक तथ्य: इनमें से हर एक का वर्ज़न दोनों सिस्टम के लिए है। 2025 में Citizen Lab ने दो पत्रकारों के iPhone पर Graphite की पुष्टि की (iMessage के ज़रिए zero-click, CVE-2025-43200, iOS 18.2.1) और साथ ही दो इतालवी एक्टिविस्ट्स के Android पर भी (WhatsApp के ज़रिए zero-click)। एक ही क्लाइंट, दोनों प्लेटफ़ॉर्म।

• Apple 150 से ज़्यादा देशों में spyware हमलों की सूचनाएँ भेजता है; सिर्फ़ अगस्त 2026 की लहर 110 देशों के यूज़र्स तक पहुँची। प्राप्तकर्ताओं की संख्या Apple नहीं बताता।
• Lockdown Mode: मार्च 2026 में Apple ने कहा कि उसे Lockdown Mode चालू वाले iPhone पर कमर्शियल spyware के किसी भी सफल हमले की जानकारी नहीं है। इसकी स्वतंत्र पुष्टि नहीं हुई, लेकिन Google के रिसर्चर्स ने ऐसा spyware देखा है जो Lockdown Mode का पता चलते ही बस बंद हो जाता है।
• Android: इसी तरह का Advanced Protection मोड Android 16 (2025) में आया। दूसरी तरफ़ का उदाहरण: spyware LANDFALL ने Samsung की इमेज प्रोसेसिंग की एक ख़ामी (CVE-2025-21042) का लगभग 9 महीने तक इस्तेमाल किया, उसके बाद पैच आया।
• फ़ॉरेंसिक टूल: 2024 के Cellebrite लीक के मुताबिक़ iOS 17.4+ वाले iPhone “जाँच में” थे (अनलॉक नहीं हो पाते थे), और अक्टूबर 2025 के लीक के मुताबिक़ GrapheneOS वाले Pixel 9 को बिल्कुल नहीं पढ़ा जा सकता – सामान्य Pixel को हाँ। यानी ज़ब्त किए गए फ़ोन से क्या निकाला जा सकता है, यह लोगो से ज़्यादा सिस्टम वर्ज़न और कॉन्फ़िगरेशन पर निर्भर करता है।

सबक़ #8: अगर कोई ख़ास तौर पर आपके फ़ोन में सेंध लगाने के लिए लाखों डॉलर ख़र्च करेगा, तो ऑपरेटिंग सिस्टम आपको नहीं बचाएगा। आपको बचाएगी कॉन्फ़िगरेशन – Lockdown Mode / Advanced Protection, जारी होने के दिन ही अपडेट, दिन में एक बार रीस्टार्ट (ज़्यादातर मोबाइल spyware रीस्टार्ट के बाद ज़िंदा नहीं रहता) और यह समझ कि “लिंक पर क्लिक मत करो” अब काफ़ी नहीं है, क्योंकि zero-click को क्लिक की ज़रूरत ही नहीं।

दीवारें और चोर दरवाज़े: सुरक्षा कैसे काम करती है और हमले उसे कैसे चकमा देते हैं

काग़ज़ पर दोनों सिस्टम एक जैसे तरीक़े से अपना बचाव करते हैं। हर ऐप एक अलग “कमरे” (sandbox) में रहता है और नहीं देख सकता कि दूसरे क्या कर रहे हैं। कोड पर सिग्नेचर होना ज़रूरी है। स्टार्ट होते समय फ़ोन जाँचता है कि किसी ने सिस्टम बदला तो नहीं। मेमोरी की रक्षा प्रोसेसर के हार्डवेयर मैकेनिज़्म करते हैं। अच्छी ख़बर: इन दीवारों को लगभग कोई सामने से नहीं तोड़ता। बुरी ख़बर: किसी को तोड़ने की ज़रूरत भी नहीं। हमलावर चोर दरवाज़े ढूँढते हैं – और हर सिस्टम के दरवाज़े अलग हैं।

iPhone: लाखों डॉलर के तकनीकी चोर दरवाज़े

• BlastDoor बनाम वह “GIF”, जो असल में PDF था। iOS 14 में Apple ने iMessage मैसेज की प्रोसेसिंग को BlastDoor नाम के एक ख़ास sandbox में बंद कर दिया। 2021 में NSO (Pegasus के निर्माता) ने पीड़ितों को .gif एक्सटेंशन वाली फ़ाइल भेजी, जो अंदर से PDF थी। iMessage GIF फ़ाइलों को BlastDoor के बाहर चलने वाली प्रोसेस को सौंप देता था, और ग्राफ़िक्स लाइब्रेरी असली फ़ॉर्मैट पहचानकर ख़ामी वाला डिकोडर चला देती थी (CVE-2021-30860)। उस डिकोडर में exploit ने 70 हज़ार से ज़्यादा सरल ऑपरेशन से अपना एक वर्चुअल कंप्यूटर बना लिया। Google Project Zero ने इसे अब तक देखे गए तकनीकी रूप से सबसे परिष्कृत exploits में से एक कहा। और sandbox से आगे निकलना पूरी तरह लॉजिक की गड़बड़ियों पर टिका था, इसलिए, जैसा Project Zero ने माना, हार्डवेयर मेमोरी सुरक्षा का उस पर कोई असर नहीं था। दीवार अच्छी थी। बस हर चीज़ उससे होकर नहीं गुज़रती थी। Apple ने इसे iOS 14.8 में पैच किया, और iOS 15 से GIF भी BlastDoor के अंदर प्रोसेस होते हैं।
• Operation Triangulation, यानी बिना दस्तावेज़ वाला हार्डवेयर। 2023 में Kaspersky ने पाया कि उसके अपने कर्मचारियों के iPhone एक अदृश्य iMessage मैसेज से संक्रमित किए गए थे। Chain में 4 zero-day थे, इसने pointer signing (PAC – एक मैकेनिज़्म जो प्रोग्राम का कंट्रोल छीनना नामुमकिन बनाने के लिए है) को बायपास किया और – सबसे दिलचस्प – kernel मेमोरी की हार्डवेयर सुरक्षा को भी। हमलावरों ने इसके लिए प्रोसेसर के ऐसे रजिस्टर इस्तेमाल किए जो किसी दस्तावेज़ में नहीं हैं और जिन्हें ख़ुद Apple का सॉफ़्टवेयर भी इस्तेमाल नहीं करता (CVE-2023-38606)। Kaspersky ने इसे अपने विशेषज्ञों का अब तक देखा गया सबसे परिष्कृत हमला कहा।
• जब दीवार टिकी रही: BLASTPASS। सितंबर 2023 में Citizen Lab ने NSO का एक और zero-click पकड़ा, इस बार iMessage में Apple Wallet अटैचमेंट के ज़रिए। और यहाँ अच्छी ख़बर: Citizen Lab और Apple दोनों ने पुष्टि की कि Lockdown Mode इस हमले को रोक देता था। यह मोड बंद कर देता है, अन्य चीज़ों के अलावा, Messages में ज़्यादातर अटैचमेंट, ब्राउज़र में JIT कंपाइलेशन (exploits का पसंदीदा रास्ता), अनजान लोगों की कॉल, लॉक स्क्रीन पर केबल से डेटा ट्रांसफ़र और कॉन्फ़िगरेशन प्रोफ़ाइल व MDM का इंस्टॉलेशन।
• बिना exploit का चोर दरवाज़ा: MDM प्रोफ़ाइल। अगर आपके पास zero-day के पैसे नहीं हैं, तो आप बस माँग सकते हैं। GoldPickaxe (Group-IB, फ़रवरी 2024) पहले TestFlight (ऐप टेस्टिंग के लिए Apple का आधिकारिक प्लेटफ़ॉर्म) के ज़रिए फैलाया गया, और जब Apple ने उसे हटा दिया, तो अपराधियों ने वियतनाम और थाईलैंड में पीड़ितों को MDM प्रोफ़ाइल इंस्टॉल करने के लिए मनाया – यानी फ़ोन का मैनेजमेंट किसी अजनबी “कंपनी” को सौंप देना। Malware चेहरे का वीडियो भी माँगता था, जिससे बैंक के बायोमेट्रिक वेरिफ़िकेशन को धोखा देने के लिए deepfake बनाए जाते थे। ध्यान दीजिए: Lockdown Mode ठीक इसी MDM प्रोफ़ाइल इंस्टॉलेशन को रोकता है।

Android: ऐक्सेसिबिलिटी फ़ीचर, यानी कौड़ियों का चोर दरवाज़ा

Android के पास वही दीवारें हैं: sandbox, SELinux, verified boot, डिवाइस पर ऐप्स के व्यवहार का विश्लेषण करने वाले AI के साथ Play Protect (2024 से)। लेकिन उसके पास कुछ ऐसा भी है जो iPhone थर्ड-पार्टी ऐप्स को नहीं देता: ऐक्सेसिबिलिटी सेवाएँ (Accessibility Services)।

यह API एक नेक मक़सद से बना था – दृष्टिहीन, कम दृष्टि वाले और चलने-फिरने में अक्षम लोगों के लिए। स्क्रीन रीडर किसी दृष्टिहीन व्यक्ति को स्क्रीन पर लिखा पढ़कर सुना सके और स्विच कंट्रोल लकवाग्रस्त व्यक्ति की जगह क्लिक कर सके, इसके लिए ऐप को स्क्रीन पर सब कुछ देखने और यूज़र की जगह क्लिक करने की क्षमता चाहिए। हर ऐप में। बैंकिंग ऐप में भी।

बैंकिंग ट्रोजन के लिए यह राज्य की चाबियाँ हैं। एक “अनुमति दें” और ऐप ये कर सकता है:

• फ़ोन पर दिखने वाली हर चीज़ पढ़ना – लॉगिन, बैलेंस, SMS कोड – और हर की-प्रेस रिकॉर्ड करना,
• अगली विंडो में ख़ुद “अनुमति दें” पर क्लिक करना और ख़ुद को और अनुमतियाँ देना,
• असली ऐप के ऊपर नकली लॉगिन स्क्रीन या काली स्क्रीन डाल देना, जिसके नीचे कुछ चल रहा होता है,
• और आख़िर में आपके असली बैंकिंग ऐप में, आपके फ़ोन पर, ख़ुद ट्रांसफ़र कर देना। बैंक को यह ग्राहक के भरोसेमंद डिवाइस से हुआ एक सामान्य ट्रांज़ैक्शन लगता है। 😈

यह थ्योरी नहीं है। पिछले कुछ सालों के कुछ उदाहरण:

• Anatsa: आधिकारिक Google Play में नकली PDF रीडर और “क्लीनर” ऐप्स के ज़रिए लगभग 150-200 हज़ार संक्रमण (ThreatFabric, फ़रवरी 2024)। ये ऐप “बैटरी खाने वाले ऐप्स को स्लीप करने” के बहाने ऐक्सेसिबिलिटी की अनुमति माँगते थे। 2025 में PDF रीडर बनकर आए एक और dropper ने अमेरिका में 50 हज़ार से ज़्यादा डाउनलोड बटोरे।
• Crocodilus (ThreatFabric, मार्च 2025): फ़ोन पर क़ब्ज़ा कर लेता है, और ताकि पीड़ित यह न देखे कि डिवाइस अपने आप चल रहा है, काली स्क्रीन दिखाता है और आवाज़ बंद कर देता है।
• Herodotus (ThreatFabric, अक्टूबर 2025): टेक्स्ट अक्षर-दर-अक्षर टाइप करता है, बीच में 0.3 से 3 सेकंड के रैंडम ब्रेक के साथ, ताकि बैंकों के एंटी-फ़्रॉड सिस्टम मानें कि कोई इंसान टाइप कर रहा है। इसकी नकली स्क्रीनों की सूची में पोलैंड भी है।
• FvncBot – हमारे घर का मामला: यह “mBank सिक्योरिटी की” बनकर आया (Intel 471, दिसंबर 2025)। CERT Polska (मार्च 2026) ने बताया कि इंस्टॉल होने के बाद यह “System Update” जैसे मासूम नाम से एक ऐक्सेसिबिलिटी सेवा रजिस्टर करता है, जिसे विंडो का कंटेंट पढ़ने और जेस्चर करने का अधिकार होता है। फिर: की-लॉगिंग, नकली स्क्रीन, स्क्रीन स्ट्रीमिंग और फ़ोन का रिमोट कंट्रोल। पूरी तस्वीर के लिए: हर पोलिश ट्रोजन एक जैसा काम नहीं करता – ऊपर बताया गया NGate NFC से चोरी करता है और उसे ऐक्सेसिबिलिटी की ज़रूरत नहीं।

Google यह जानता है और सालों से अपराधियों के साथ चूहे-बिल्ली का खेल खेल रहा है:

• Android 13 (2022): डाउनलोड की गई APK फ़ाइल से इंस्टॉल हुआ ऐप ऐक्सेसिबिलिटी की अनुमति नहीं माँग सकता – विकल्प धुंधला (ग्रे) हो जाता है।
• अपराधियों का जवाब (2023): ThreatFabric ने SecuriDropper के बारे में बताया – एक बिचौलिया ऐप, जो असली malware को उसी तरीक़े से इंस्टॉल करता है जैसे ऐप स्टोर करता है। सिस्टम एक को दूसरे से अलग नहीं कर पाता, इसलिए रोक काम नहीं करती। FvncBot ने 2025 में ठीक यही किया।
• Android 15 और 16: पाबंदियाँ और संवेदनशील अनुमतियों तक बढ़ाई गईं, और दिसंबर 2025 से Google Play उन ऐप्स को रिजेक्ट करता है जो दिव्यांग लोगों के लिए टूल होने का दिखावा करते हैं लेकिन होते नहीं। Play Protect उन्हें फ़ोन पर भी ब्लॉक करता है।
• Android 17: Advanced Protection मोड चालू करने पर उन सभी ऐप्स से ऐक्सेसिबिलिटी की पहुँच अपने आप छिन जाती है जो असली ऐक्सेसिबिलिटी टूल नहीं हैं (स्क्रीन रीडर, स्विच कंट्रोल, वॉइस कंट्रोल, Braille)। शर्त: सिर्फ़ तब, जब आप यह मोड चालू करें। यह पहुँच पासवर्ड मैनेजर और ऑटोमेशन ऐप्स जैसे ऐप्स से भी छिन जाएगी।

iPhone के साथ यह समस्या एक सीधे कारण से नहीं है: थर्ड-पार्टी ऐप्स को ऐसा API नहीं मिलता जो दूसरे ऐप्स पढ़ने और यूज़र की जगह क्लिक करने दे। VoiceOver सिस्टम का हिस्सा है। यही एक मुख्य कारण है कि मोबाइल बैंकिंग ट्रोजन लगभग पूरी तरह Android पर हैं।

30 सेकंड का प्रैक्टिकल टेस्ट: Settings → Accessibility में जाइए और डाउनलोड/इंस्टॉल किए गए उन ऐप्स की सूची देखिए जिनकी पहुँच चालू है। अगर वहाँ उस टूल के अलावा कुछ भी दिखे जिसे आप जानबूझकर इस्तेमाल करते हैं (स्क्रीन रीडर, वॉइस कंट्रोल), और ख़ासकर “सिस्टम अपडेट”, “PDF रीडर” या “बैंक की सिक्योरिटी की” – तो फ़ोन को इंटरनेट से डिस्कनेक्ट कीजिए और अपने बैंक को फ़ोन कीजिए। बैंकिंग ऐप को इस अनुमति की ज़रूरत नहीं होती। ⚠️

सबक़ #9: आज दोनों सिस्टम में दीवारें ऊँची हैं। iPhone में लाखों डॉलर के तकनीकी चोर दरवाज़ों से घुसा जाता है – अजीबोग़रीब फ़ाइल फ़ॉर्मैट और बिना दस्तावेज़ वाले प्रोसेसर रजिस्टर के ज़रिए। Android में अपराधी ज़्यादातर कौड़ियों के इंसानी दरवाज़े से घुसता है: ऐक्सेसिबिलिटी में “अनुमति दें” पर एक क्लिक उसे मिलियन डॉलर के exploit से ज़्यादा देता है। इसलिए Android पर फ़ोन के मॉडल से ज़्यादा अहम है जागरूकता और स्टोर के बाहर से इंस्टॉलेशन पर रोक।

फ़ैसला: स्कोर टेबल

यह मेरा व्यक्तिगत आकलन है – लेकिन हर पंक्ति ऊपर दिए गए आंकड़ों पर टिकी है। यहाँ “Android” का मतलब पूरे सपोर्ट वाला Pixel या Samsung है; सुपरमार्केट वाला no-name फ़ोन हर पंक्ति में दोनों से हारता है।

अगर इसे एक वाक्य में कहना हो: जो इंसान कुछ भी कॉन्फ़िगर नहीं करता, उसके लिए iPhone “डिब्बे से निकलते ही” ज़्यादा सुरक्षित है; MDM के साथ अच्छी तरह मैनेज किया गया Pixel या Samsung उस कंपनी के लिए कम से कम उतना ही सुरक्षित है जो कॉन्फ़िगर करती है। और सबसे बुरा विकल्प है अपडेट सपोर्ट के बिना Android – कीमत चाहे जो हो।

7 काम, जो हर सिस्टम पर करने चाहिए

1. ऑटोमैटिक अपडेट – चालू और जाँचे हुए। इस पोस्ट में यही एक पैमाना है जिसमें प्लेटफ़ॉर्म के बीच दस गुना का फ़र्क़ है। कंपनी में Android पर: MDM से समय-सीमा के साथ लागू करवाइए।
2. स्टोर के बाहर से एक भी ऐप नहीं। 50 गुना ज़्यादा malware। अगर आपके पास MDM नहीं है, तो “अज्ञात स्रोत” बंद कीजिए और Auto Blocker (Samsung) या Play Protect चालू कीजिए। बीच-बीच में जाँचिए कि किन ऐप्स के पास ऐक्सेसिबिलिटी की पहुँच है। iPhone पर – लिंक से कॉन्फ़िगरेशन प्रोफ़ाइल या MDM इंस्टॉल मत कीजिए।
3. मैनेजमेंट, फ़ाइनेंस, वकीलों और HR के लिए Lockdown Mode / Advanced Protection। हाँ, कुछ चीज़ें काम करना बंद कर देंगी। यही कीमत है।
4. दिन में एक बार रीस्टार्ट। सुनने में बेवकूफ़ी लगती है, लेकिन ज़्यादातर मोबाइल spyware पर काम करता है, जिसमें persistence नहीं होती।
5. कैमरे से नहीं, सपोर्ट की अवधि देखकर ख़रीदिए। 7 साल (Pixel, Galaxy S) या iPhone। अपडेट के बिना फ़ोन 2 साल बाद ऐसा फ़ोन बन जाता है जिसके exploits की रेट लिस्ट मुफ़्त में सार्वजनिक है।
6. Phishing से बचाने वाली प्रक्रियाएँ। CEO के iPhone पर भी लिंक वैसे ही आएगा जैसे गोदाम कर्मचारी के Android पर। सप्लायर का बैंक खाता बदलना, असामान्य ट्रांसफ़र, बॉस का “अर्जेंट” मैसेज – हमेशा दूसरा चैनल और दूसरा व्यक्ति।
7. अपने मोबाइल ऐप का टेस्ट करवाइए। अगर आपकी कंपनी iOS या Android के लिए ऐप जारी करती है, तो वही – सिस्टम नहीं – सबसे कमज़ोर कड़ी है। Apple और Google अपने हिस्से पर सालाना सैकड़ों मिलियन ख़र्च करते हैं; आपके हिस्से की कीमत कुछ दिनों के टेस्ट जितनी है। अगर ठीक-ठीक जानना चाहते हैं कितनी, तो कैलकुलेटर में हिसाब लगाइए, और अगर बात करना पसंद करें – संपर्क कीजिए।

FAQ

क्या iPhone, Android से ज़्यादा सुरक्षित है?

“डिब्बे से निकलते ही” – हाँ: पैच डिवाइस तक जल्दी पहुँचते हैं (iOS 26 पर 79% iPhone, जबकि Android 16 पर 7.5-38% Android), बड़े पैमाने का malware नहीं है और एक बंद ऐप स्टोर है। लेकिन 7 साल के सपोर्ट और MDM के साथ अच्छी तरह मैनेज किया गया Pixel या Samsung किसी कंपनी के लिए उतना ही सुरक्षित है, और बिना सपोर्ट वाले सस्ते Android दोनों से हारते हैं।

Android में कितनी कमज़ोरियाँ (CVE) हैं और iOS में कितनी?

Zimperium के मुताबिक़ 2024 में Android में 501 CVE थे, iOS में 317। ये संख्याएँ पूरी तरह तुलनीय नहीं हैं: Android में Qualcomm, MediaTek और दूसरी कंपनियों के कंपोनेंट भी गिने जाते हैं, और open source होने के कारण Android को ज़्यादा रिसर्चर्स खंगालते हैं।

iPhone और Android के exploit की कीमत कितनी है?

Crowdfense (2024 की रेट लिस्ट, अब भी लागू) iOS पर zero-click chain के लिए 5-7 मिलियन डॉलर तक और Android पर 5 मिलियन डॉलर तक देता है। रूसी Operation Zero iOS के लिए 2 मिलियन डॉलर और Android के लिए 2.5 मिलियन डॉलर देता है। 2019 में Zerodium ने Android की कीमत ज़्यादा आँकी थी (2.5 बनाम 2 मिलियन डॉलर)।

Apple और Google कमज़ोरियाँ कितनी जल्दी पैच करते हैं?

Google Project Zero (2019-2021) के मुताबिक़ iOS को रिपोर्ट से पैच तक औसतन 70 दिन लगे, Pixel और Samsung को 72-72 दिन। फ़र्क़ पैच के यूज़र्स तक पहुँचने में है: Apple कुछ ही महीनों में लगभग पूरे यूज़र बेस को अपडेट कर देता है, जबकि Android के अपडेट फ़ोन निर्माता पर निर्भर करते हैं।

क्या iPhone को बिना क्लिक के हैक किया जा सकता है?

हाँ। zero-click हमले (जैसे 2025 में iMessage के ज़रिए Paragon कंपनी का Graphite, CVE-2025-43200) दोनों सिस्टम पर मौजूद हैं। इनसे Lockdown Mode (iOS) और Advanced Protection (Android 16) के साथ-साथ तुरंत अपडेट बचाते हैं। Apple का कहना है कि उसे Lockdown Mode वाले फ़ोन पर spyware के किसी सफल हमले की जानकारी नहीं है।

Android में ऐक्सेसिबिलिटी फ़ीचर ख़तरनाक क्यों हैं?

ऐक्सेसिबिलिटी सेवाएँ (Accessibility Services) दिव्यांग लोगों के लिए बनी हैं, इसलिए वे ऐप को स्क्रीन पर सब कुछ पढ़ने और यूज़र की जगह क्लिक करने देती हैं। Anatsa, Herodotus या पोलैंड के लोगों को निशाना बनाने वाले FvncBot जैसे बैंकिंग ट्रोजन पीड़ित को यह पहुँच चालू करने के लिए मनाते हैं, और फिर पासवर्ड चुराते हैं और असली बैंकिंग ऐप में ख़ुद ट्रांसफ़र कर देते हैं। Android 13 और नए वर्ज़न स्टोर के बाहर के ऐप्स के लिए इसे मुश्किल बनाते हैं, और Advanced Protection मोड के साथ Android 17 यह पहुँच उन ऐप्स से छीन लेता है जो ऐक्सेसिबिलिटी टूल नहीं हैं। iOS थर्ड-पार्टी ऐप्स को ऐसा API नहीं देता।

कंपनी के लिए कौन-सा फ़ोन चुनें?

iPhone या 7 साल के गारंटीड सपोर्ट वाला Android (Pixel 8+, Galaxy S24+), हमेशा MDM के तहत, ज़बरदस्ती लागू अपडेट और स्टोर के बाहर से इंस्टॉलेशन पर रोक के साथ। मैनेजमेंट और फ़ाइनेंस के लिए – Lockdown / Advanced Protection मोड।

निष्कर्ष

सालों तक यह बहस किसी खेल की फ़ैनबाज़ी जैसी लगती रही। आंकड़े कुछ ज़्यादा उबाऊ और साथ ही ज़्यादा दिलचस्प दिखाते हैं: स्रोत पर Apple और Google आज एक ही लीग में खेलते हैं – लगभग एक ही रफ़्तार से पैच करते हैं, ख़ामियों के लिए लाखों डॉलर देते हैं, और उनके फ़्लैगशिप ऐसे निशाने बन गए हैं जिनका ख़र्च सिर्फ़ देश उठा सकते हैं। फ़र्क़ आगे हैं: कितने फ़ोन वाक़ई पैच पाते हैं, यूज़र ऐप कहाँ से इंस्टॉल करता है और फ़ोन किसके हाथ में है। जो लोग कॉन्फ़िगर नहीं करते, उनके बीच iPhone जीतता है। जो कंपनियाँ कॉन्फ़िगर करती हैं, उनके बीच Android जीतता है – बशर्ते उन्होंने सपोर्ट वाला फ़ोन ख़रीदा हो। और हारता हमेशा वही है जो अपडेट नहीं करता। 🔓

अगर आप देखना चाहते हैं कि आपका मोबाइल ऐप या कंपनी के फ़ोन हमलावर की नज़र से कैसे दिखते हैं – तो आप जानते हैं कि मुझे कहाँ ढूँढना है।

पोस्ट में इस्तेमाल किए गए डेटा के स्रोत

• StatCounter – दुनिया और पोलैंड में मोबाइल सिस्टम का हिस्सा (09.2026)
• Google – Pixel अपडेट पॉलिसी (support.google.com); Samsung / 9to5Google – Galaxy S25 के लिए 7 साल का सपोर्ट (01.2025); Apple – iOS 26 security content (09.2025)
• Zimperium – Global Mobile Threat Report 2025 (04.2025) और 2026 की रिपोर्ट पर घोषणा (07.2026)
• Google Security Blog – “Eliminating memory safety vulnerabilities at the source” (09.2024); Google – “Rust in Android: move fast and fix things” (11.2025)
• Apple Security Research – “Memory Integrity Enforcement” (09.2025); “A major evolution of Apple Security Bounty” (10.2025)
• Google Threat Intelligence Group – “2024 Zero-Day Trends” (04.2025) और “2025 Zero-Day Review” (03.2026); SecurityWeek – सारांश (03.2026)
• Google Project Zero – “A walk through Project Zero metrics” (02.2022); Reporting Transparency 2025 (17.03.2026 की स्थिति)
• Android Security Bulletin – जुलाई 2025 और दिसंबर 2025; Android Authority – रिस्क-आधारित अपडेट सिस्टम (09.2025); SecurityWeek (07.2025); BleepingComputer (12.2025)
• Help Net Security – Apple के पहले Background Security Improvements (03.2026); Apple / 9to5Mac – iOS 26.7.1, CVE-2026-86950 (28.09.2026); Android Security Bulletin – अक्टूबर 2026; MacRumors – iOS 27 का लॉन्च (09.2026)
• Apple / MacRumors – iOS 26 का अपनाया जाना (06.2026); Google / 9to5Google – Android वर्ज़न का वितरण (01.2026); StatCounter – Android वर्ज़न (09.2026)
• Crowdfense – Exploit Acquisition Program; TechCrunch (04.2024); Operation Zero – रेट लिस्ट (opzero.ru); TechCrunch (09.2023); Threatpost – Zerodium (09.2019); CyberScoop / The Hacker News – Peter Williams का मामला (2025-2026)
• Zero Day Initiative – Pwn2Own Ireland 2024, 2025 और 2026 के नतीजे; BleepingComputer (09.10.2026); Privacy Guides (13.10.2026); SecurityWeek (10.2024)
• Google – VRP 2024 (03.2025) और VRP 2025 (03.2026); SecurityWeek – प्रोग्राम के हिसाब से बँटवारा (03.2026) और Android VRP में बदलाव (05.2026); Samsung Newsroom (11.2024)
• Apple Newsroom – App Store fraud prevention 2025 (05.2026); Google – “How we kept Google Play safe in 2025” (02.2026)
• Kaspersky Securelist – “Mobile malware evolution in 2025” (03.2026) और 2024 (03.2025); Lookout – Q3 2025 Mobile Threat Landscape; Lookout / Business Wire (04.2025, 01.2026); ESET Threat Report H2 2025 (12.2025)
• CERT Polska – NGate (11.2025), FvncBot (03.2026), Cifrat (04.2026) के विश्लेषण
• Android Developers Blog – डेवलपर वेरिफ़िकेशन (08.2025, 06.2026); TechCrunch – यूरोपीय संघ में वैकल्पिक स्टोर (03.2025); Apple – यूरोपीय संघ में ऐप वितरण
• Google – “How Android provides the most effective protection…” (10.2025, Google द्वारा करवाया गया सर्वे)
• Citizen Lab – Report 186, Paragon Graphite (06.2025); Apple Support – ख़तरे की सूचनाएँ; The Hacker News (08.2026); TechCrunch – Lockdown Mode (03.2026); The Record / Unit 42 – LANDFALL (11.2025)
• 404 Media / TechSpot – Cellebrite लीक (07.2024, 10.2025); Android Authority (10.2025)
• Google Project Zero – “A deep dive into an NSO zero-click iMessage exploit” (12.2021) और “FORCEDENTRY: Sandbox Escape” (03.2022); SecurityWeek (12.2021)
• Kaspersky – Operation Triangulation (06.2023); Securelist – “The last (hardware) mystery” (12.2023)
• Citizen Lab – BLASTPASS (09.2023); Apple – Lockdown Mode (Newsroom 07.2022, Personal Safety User Guide)
• Group-IB – GoldPickaxe / GoldFactory (02.2024)
• ThreatFabric – SecuriDropper (11.2023), Octo (04.2022), Crocodilus (03.2025), Anatsa (07.2025), Herodotus (10.2025); BleepingComputer – Anatsa (02.2024); The Hacker News – Hook v3 (08.2025)
• Google Security Blog – Android 15 और Play Protect live threat detection (05.2024); Android Developers Blog – ऐक्सेसिबिलिटी API की सुरक्षा (12.2025); The Hacker News – Android 17 Advanced Protection और ऐक्सेसिबिलिटी (03.2026, 10.2026)
• Intel 471 – FvncBot (12.2025); CERT Polska – FvncBot का विश्लेषण (03.2026)