Android vs iPhone: что безопаснее? CVE, zero-day, цены эксплойтов и скорость патчей в цифрах (2026)

За рабочий zero-click эксплойт для iPhone брокеры сегодня платят до 7 миллионов долларов. За такой же для Android — до 5 миллионов. Вопрос закрыт, iPhone безопаснее? Не так быстро. В 2019 году всё было ровно наоборот: Zerodium платила за Android 2,5 млн, за iOS 2 млн, а глава компании объяснял, что рынок попросту завален эксплойтами для iPhone. 💥

«Михал, что безопаснее: iPhone или Android?» — этот вопрос мне задают регулярно. Знакомые, клиенты, руководители, которые как раз меняют корпоративный парк телефонов. И я всегда отвечаю одинаково: зависит от того, что вы измеряете. Потому что в этом споре мнение есть у каждого, а цифры — мало у кого.

Поэтому я сделал то, что люблю больше всего: собрал в одном месте жёсткие данные. Количество уязвимостей (CVE), zero-day, использованные в реальных атаках, скорость выпуска патчей, цены эксплойтов на чёрном рынке, результаты хакерских соревнований, статистику вредоносного ПО и фишинга, программы bug bounty. Плюс короткий обзор того, как работает защита обеих систем и как реальные атаки её обходили — в том числе почему функция, созданная для людей с инвалидностью, сегодня стала любимым инструментом воров на Android. У каждой цифры есть источник и дата (список в конце). А под конец — вердикт и 7 вещей, которые стоит сделать каждому, независимо от логотипа на корпусе.

Содержание

1. Прежде чем сравнивать: одно яблоко против мешка яблок
2. Сколько CVE у Android и сколько у iOS?
3. Zero-day в реальных атаках: 15 против мобильных устройств в 2025 году
4. Как быстро закрываются уязвимости? Apple vs Google
5. Сколько стоит взлом — прайс-лист чёрного рынка и Pwn2Own
6. Насколько велика команда безопасности? Bug bounty и защита магазинов приложений
7. Вредоносное ПО и фишинг: где на самом деле пропадают деньги
8. Pegasus, Graphite и компания: кто становится целью
9. Стены и лазейки: как атаки обходят защиту (и почему специальные возможности опасны)
10. Вердикт: таблица баллов
11. 7 вещей, которые нужно сделать независимо от системы
12. FAQ

Прежде чем сравнивать: одно яблоко против мешка яблок

Одна честная оговорка на старте, потому что без неё всё сравнение будет нечестным. iPhone — это один производитель, одна система и один магазин приложений. «Android» — это Pixel от Google, Samsung с собственной оболочкой и собственным бюллетенем безопасности, Xiaomi, Motorola, а в самом конце — дешёвый телефон из супермаркета примерно за 100 евро, который получил последнее обновление в день выхода на рынок. То есть мы сравниваем одно яблоко с целым мешком яблок разной свежести.

Масштаб тоже несимметричен. В мире у Android 69% рынка, у iOS 31% (StatCounter, сентябрь 2026). В Польше пропорции ближе: 64% Android, 36% iOS. Больше доля — сильнее магнит для массовой преступности: злоумышленник пишет банковский троян там, где больше всего потенциальных жертв.

И ещё поддержка, потому что именно она решает, дойдёт ли патч до вас вообще:

• Pixel 8 и новее: 7 лет обновлений системы и безопасности (Pixel 6/7: 5 лет).
• Samsung Galaxy S24/S25: 7 лет.
• Более дешёвые Android-смартфоны: зависит от производителя и модели, обычно заметно меньше, чем у флагманов. Прежде чем покупать, проверьте заявленный срок обновлений на сайте производителя.
• iPhone: Apple не обещает никакого конкретного числа лет. Но вышедшая 14 сентября 2026 года iOS 27 по-прежнему работает на iPhone 11 2019 года — то есть на практике около 7 лет.

Урок №1: Вопрос «Android или iPhone» поставлен неправильно. Правильный звучит так: «какой Android?». Pixel с 7-летней поддержкой и noname с двухлетней — это два разных мира, хотя оба называются Android.

Сколько CVE у Android и сколько у iOS?

Для нетехнических читателей: CVE — это публичный каталог уязвимостей. Каждая раскрытая дыра получает номер, чтобы все говорили об одной и той же ошибке. Подробнее я писал о нём в посте о киберугрозах 2026 года в цифрах (на польском).

Zimperium в своём Global Mobile Threat Report 2025 посчитала: в 2024 году Android получил 501 CVE, iOS — 317. Ещё интереснее выглядит число zero-day, то есть дыр, использованных в атаках до появления патча: у Android 41 / 97 / 12 в 2022 / 2023 / 2024 годах, у iOS соответственно 5 / 20 / 5.

Первая реакция: «У Android больше дыр». Вторая реакция, пентестерская: число CVE говорит больше о том, кто как считает и сколько людей ищет, чем о том, насколько безопасна система. Почему?

• В CVE Android входят компоненты сторонних компаний: модемы, чипы Qualcomm, MediaTek. Google в своих бюллетенях закрывает чужие ошибки. Apple проектирует собственные чипы и считает иначе.
• Android — open source: любой может заглянуть в код и сообщить об ошибке. В закрытой iOS искать дыры труднее, поэтому часть из них просто не получает номера.
• С 2025 года Google изменил ритм бюллетеней (об этом чуть позже), так что даже сравнение год к году у самого Android становится неочевидным. Для масштаба: в первой половине 2025 года Android Security Bulletin закрыл около 270 уязвимостей, один только декабрьский бюллетень 2025 года — 107. Apple в iOS 26.0 закрыла 27 CVE (по данным SecurityWeek; в собственном списке Apple позиций больше, потому что одна дыра может затрагивать несколько компонентов).

Гораздо интереснее голого числа — качество ошибок. Google уже много лет публикует долю ошибок памяти (это класс дыр, из которого получается большинство эксплойтов) среди уязвимостей Android: 76% в 2019, 24% в 2024 и меньше 20% в 2025 году. Заслуга Rust: в Android уже около 5 млн строк кода на этом языке, и Google сообщает, что в нём примерно в 1000 раз меньше ошибок памяти на миллион строк, чем в C/C++. Apple ответила в сентябре 2025 года технологией Memory Integrity Enforcement (MIE) в iPhone 17: аппаратная маркировка памяти, включённая постоянно, которую Apple называет «самым значительным обновлением безопасности памяти в истории потребительских операционных систем». У Google аппаратный MTE был в Pixel 8 ещё в 2023 году, но как опция; Apple включила это всем и по умолчанию. ✔️

Урок №2: Не выбирайте телефон по числу CVE. Выбирайте по тому, вкладывается ли производитель в уничтожение целых классов ошибок — а здесь оба гиганта за последние два года сделали больше, чем за всё предыдущее десятилетие.

Zero-day в реальных атаках: 15 против мобильных устройств в 2025 году

Самая жёсткая метрика — не «сколько дыр нашли», а «сколько дыр использовали против людей до выхода патча». Google Threat Intelligence Group считает это каждый год:

• 2025: 90 zero-day, использованных в атаках (2024: 78, 2023: 100). Из них 15 на мобильных платформах (2024: 9, 2023: 17).
• В разбивке по компаниям (все продукты, не только телефоны): Microsoft 25, Google 11, Apple 8.
• Цепочки из нескольких zero-day сразу почти исключительно (около 90%) нацелены на телефоны. В 2025 году цепочки из трёх и более ошибок встречались чаще, чем годом ранее — потому что одной дыры уже не хватает, чтобы пробиться через защиту.
• Единственная разбивка по платформам, которую привела Google: в 2024 году 7 zero-day касались Android, из них 3 — в компонентах сторонних компаний. Для iOS такой цифры Google не опубликовала.
• Впервые за всю историю наблюдений больше zero-day приписали коммерческим производителям шпионского ПО, чем государственным шпионским группировкам.
• Свежий пример из мира iOS: 28 сентября 2026 года Apple выпустила iOS 26.7.1 с патчем для дыры в CoreGraphics (CVE-2026-86950), которая, по словам Apple, могла быть использована в «чрезвычайно изощрённой атаке» на конкретных людей на версиях старше iOS 27. Для контраста: октябрьский бюллетень Android (25 CVE) не помечает ни одну дыру как эксплуатируемую. Один месяц ничего не доказывает — но хорошо показывает, что «у iPhone не бывает zero-day» — это миф.

Рекомендация из того же отчёта укладывается в одно предложение, поэтому я её повторю: включите Advanced Protection на Android (начиная с Android 16) или Lockdown Mode на iPhone. Это режимы «для людей из группы высокого риска», но для руководителя, юриста или журналиста сегодня это просто разумная настройка.

Урок №3: В мире zero-day обе системы — мишень, и различия меньше, чем утверждает интернет. Важны не столько сами ошибки, сколько то, во сколько обходится собрать из них работающую атаку — а об этом чуть ниже.

Как быстро закрываются уязвимости? Apple vs Google

Лучшее независимое измерение есть у Google Project Zero — команды, которая сообщает об ошибках всем производителям (включая саму Google) и публично считает, сколько дней у них уходит на патч. Срок — 90 дней.

За 2019-2021 годы: iOS в среднем 70 дней, Pixel 72, Samsung 72. То есть ничья. В таблице за 2025 год (по состоянию на март 2026) у Apple нет ни одного сообщения, так что сравнить не получится; Pixel 10 понадобилось 73, 98 и 98 дней (дважды с просрочкой), Samsung закрывал дыры в кодеках изображений в среднем за 49 дней. Любопытный факт из того же отчёта — браузеры. Chrome понадобилось 30 дней от сообщения до выпуска исправления для пользователей, WebKit (движку Safari) — 73. Apple исправляет быстро, но выпускает в собственном ритме.

Вот только «патч, выпущенный производителем» — это не то же самое, что «патч на вашем телефоне». И здесь начинается настоящая разница:

Android сменил ритм. Десять лет Google каждый месяц выпускала бюллетень с патчами. В июле 2025 года появился первый в истории пустой бюллетень, а с сентября 2025 года работает система, «основанная на рисках»: ежемесячно — только активно эксплуатируемые дыры или те, что входят в известные цепочки, остальное — в крупных квартальных выпусках. Партнёры получают код на несколько месяцев раньше, а с 2026 года исходный код AOSP публикуется дважды в год. Для пользователя Samsung или Pixel на практике это нейтрально. Для создателей альтернативных систем (например, GrapheneOS) это проблема — патчи доходят до них позже.

Apple пошла в обратную сторону. В марте 2026 года она выпустила первые Background Security Improvements: небольшие патчи (в данном случае — для дыры в WebKit, CVE-2026-20643), которые устанавливаются в фоне, без полного обновления системы и без перезагрузки. Окно между выпуском и развёртыванием сжимается до минимума.

А вот итог — сколько телефонов на самом деле работают на последней версии системы. Внимание на даты: это последние измерения, которые опубликовали производители. С тех пор уже вышли iOS 27 (сентябрь 2026) и Android 17, но новых цифр не привели ни Apple, ни Google.

• iOS 26: 79% всех iPhone и 86% моделей за последние 4 года (Apple, июнь 2026, через 9 месяцев после выхода).
• Android 16: 7,5% устройств в выборке Google за декабрь 2025 года (через 6 месяцев после выхода); в веб-трафике, который измеряет StatCounter, в сентябре 2026 года — 38%. Методы разные, но ни один и близко не подходит к Apple.
• Zimperium: в течение года 61% устройств на Android и 49% на iOS в какой-то момент работали на устаревшей версии системы, а около 25% корпоративных устройств вообще невозможно обновить до последней версии.

Урок №4: У источника Apple и Google закрывают дыры примерно с одинаковой скоростью. Разница — в пути до кармана: патч Apple попадает на 4 из 5 iPhone, патч Google должен пройти через производителя, оператора и версию оболочки. Поэтому если в компании у вас Android-смартфоны, политика «обновляемся за 14 дней» должна принудительно применяться через MDM (ПО для управления корпоративными телефонами), а не оставаться на совести пользователей.

Сколько стоит взлом — прайс-лист чёрного рынка и Pwn2Own

Самый честный показатель безопасности — цена. Не моё мнение, не маркетинг, а то, сколько кто-то готов заплатить за работающую атаку. Брокеры эксплойтов (компании, скупающие zero-day для правительств) публикуют прайс-листы:

• Zerodium, 2019: Android zero-click 2,5 млн $, iOS 2 млн $. Впервые в истории Android оказался дороже. Объяснение главы компании: рынок завален эксплойтами для iOS, в основном для Safari и iMessage, а Google «без лишнего шума» укрепила Android настолько, что полную zero-click цепочку стало труднее собрать.
• Operation Zero (Россия), актуальный прайс: Android 2,5 млн $, iOS 2 млн $. В сентябре 2023 года компания разово объявляла до 20 млн $ за полные цепочки для обеих систем. В 2025 году американец, бывший руководитель подразделения в L3Harris Trenchant, признал, что продавал им эксплойты, — и получил около 7 лет.
• Crowdfense (ОАЭ), 2024: iOS zero-click 5-7 млн $, Android до 5 млн $, Chrome до 3 млн, Safari до 3,5 млн. Прайс не изменился до сих пор. Комментарий компании: «защитные механизмы, которые внедряют производители, работают» — эксплойт, который раньше писал один человек, сегодня требует целой команды.

Итак, в 2019 году дороже был Android, в 2024 году дороже iOS. Вывод? Обе системы сегодня настолько трудная цель, что работающая цепочка стоит как десять домов в Варшаве. Никто не потратит такие деньги, чтобы украсть ваши фотографии из отпуска — это бюджеты на политические и разведывательные цели.

Второе беспристрастное измерение — Pwn2Own: соревнование, на котором лучшие команды мира взламывают устройства вживую за деньги организатора (Zero Day Initiative):

• Ирландия 2024: Galaxy S24 взломан (цепочка из 5 ошибок, награда 50 тыс. $). За Pixel 8 и iPhone 15 предлагали по 250 тыс. $. Никто даже не заявил попытку.
• Ирландия 2025: Galaxy S25 взломан дважды (по 50 тыс. $). За Pixel 9 и iPhone 16 предлагали по 300 тыс. $ — ноль заявок.
• Ирландия 2026: а вот тут перелом. Pixel 10 пал трижды в последний день, и за одну из этих цепочек Ikotas Labs забрала 300 тыс. $ — самую большую награду всего соревнования. Galaxy S26 взломали 7 раз, в основном с «коллизиями» (ошибками, о которых производитель уже знал, поэтому и награды меньше). На iPhone 17 (тоже 300 тыс. $) третий год подряд никто не заявился. Итог соревнования: 98 zero-day и 1,26 млн $ выплат.

Почему уже три года никто не пытается взломать iPhone за 300 тысяч долларов? Потому что у брокеров работающая цепочка стоит примерно в 20 раз больше — показывать её на соревновании просто невыгодно. Тем интереснее нынешний Pixel: три команды решили, что его стоит показать. Что именно подвело, пока неизвестно — подробности ошибок ZDI раскрывает только через 90 дней, когда производитель их закроет. А у Samsung с собственной оболочкой и собственными приложениями попросту больше кода, в котором можно искать, — поэтому он и падает каждый год. 😈

Урок №5: iPhone и Pixel по-прежнему «hard targets» — цели, реальная атака на которые по карману в основном государствам. Но нынешний Pixel напоминает: трудная цель — не значит неприступная. Сложность атаки — не константа, а гонка, которую производитель должен выигрывать каждый год заново. Остальные Android-смартфоны располагаются ниже — пропорционально объёму собственного кода производителя и скорости его патчей. Если вы подбираете парк телефонов для уязвимых сотрудников (правление, финансы, юристы), этот критерий должен весить больше, чем цена тарифа.

Насколько велика команда безопасности? Bug bounty и защита магазинов приложений

Я хотел привести здесь две цифры: сколько инженеров по безопасности у Apple и сколько у Google. Не получится — ни одна из компаний не публикует численность своих команд (Apple SEAR, Android Security, Project Zero). Любая цифра, которую вы найдёте в интернете, — это догадки. Но есть хорошие косвенные показатели: сколько обе компании платят посторонним за поиск дыр и сколько мусора они отсеивают на входе в магазин.

Bug bounty, или сколько платят за дыры

• Apple: с ноября 2025 года максимальная награда — 2 млн $ за zero-click цепочку (раньше 1 млн), а с бонусами (обход Lockdown Mode, ошибки в бета-версиях) — «более 5 млн $». С запуска программы в 2020 году Apple выплатила более 35 млн $ более чем 800 исследователям. В программе Security Research Device (специальные iPhone для исследователей) медианная выплата в 2024 году составила около 18 тыс. $, а несколько раз выплачивали по 500 тыс. $. В 2026 году Apple также раздаёт 1000 iPhone 17 общественным организациям, которым угрожает шпионское ПО.
• Google: в 2025 году все программы VRP выплатили 17,1 млн $ 747 исследователям (более 81 млн $ с 2010 года). Из них на Android и устройства Google пришлось 2,9 млн $ (годом ранее 3,3 млн; Chrome получил 3,7 млн). С мая 2026 года полная zero-click цепочка для Pixel со взломом чипа Titan M2 и закреплением в системе стоит 1-1,5 млн $. Google прямо объясняет: ИИ завалил программу длинными отчётами, поэтому награды идут туда, где ошибки для ИИ найти труднее всего.
• Samsung: до 1 млн $ за удалённое выполнение кода в Knox Vault; более 4 млн $ выплачено с 2017 года.
• Кроме того, Google содержит Project Zero — команду, которая ищет дыры и у Apple, и у Samsung и публично спрашивает со всех за 90-дневный срок. У Apple публичного аналога нет.

Фильтр на входе в магазин, или сколько мусора не доходит до телефона

• App Store, 2025: 9,1 млн проверенных заявок приложений, более 2 млн отклонённых, 193 тыс. закрытых аккаунтов разработчиков, 2,2 млрд $ заблокированных мошеннических транзакций, 28 тыс. приложений, заблокированных в пиратских магазинах.
• Google Play, 2025: 1,75 млн приложений, нарушающих правила, остановлены до публикации, 80 тыс. забаненных аккаунтов, Play Protect сканирует 350 млрд приложений в день и обнаружил 27 млн новых вредоносных приложений за пределами магазина.

Эти цифры измеряют разное (Apple считает доллары, Google — приложения), но показывают масштаб: оба гиганта держат фабрики отсева на уровне, о котором ни один польский банк или интернет-магазин даже не мечтает. 😈

Урок №6: Размер команды не публичен, а вот деньги — да. Apple платит больше за отдельный эксплойт, Google — больше в сумме и шире. И то, и другое говорит одно: безопасность телефона сегодня стоит сотни миллионов долларов в год. Ваше мобильное приложение, написанное подрядчиком за полгода, такого масштаба не имеет — и поэтому на проектах я чаще всего нахожу дыры именно в нём, а не в системе.

Вредоносное ПО и фишинг: где на самом деле пропадают деньги

Zero-day и эксплойты за миллионы — это мир разведок. Деньги обычных людей и компаний пропадают в другом месте — через вредоносные приложения и фишинг. И здесь картина однозначна, только в каждой категории — в обратную сторону.

Вредоносное ПО: Android

• Kaspersky, 2025: 14 млн заблокированных атак вредоносного, рекламного и нежелательного ПО на телефонах (около 1,2 млн в месяц), 815 тыс. новых вредоносных установочных пакетов и 255 тыс. новых банковских троянов — рост в несколько раз год к году. Почти целиком Android.
• Lookout, Q3 2025: обнаружения вредоносного ПО на корпоративных устройствах «в подавляющем большинстве» касаются Android; за квартал — 71 тыс. вредоносных приложений на корпоративных телефонах.
• ESET, II полугодие 2025: атаки через NFC (телефон жертвы «отдаёт» платёжную карту преступнику, стоящему у банкомата) выросли на 87%.
• Польша: CERT Polska в 2025-2026 годах описал очередные кампании против клиентов польских банков: NGate (выдаёт себя за SGB, Santander, PKO, ING, крадёт через NFC), FvncBot (SGB, Alior, Paribas; притворяется «компонентом Play»), Cifrat (инфраструктура, имитирующая Booking). Общий знаменатель: всё это APK-файлы, установленные вручную на Android после того, как жертва прошла через экран «разрешить установку из неизвестных источников».
• Google оценивает, что приложения, установленные не из магазина, несут в 50 с лишним раз больше вредоносного ПО, чем приложения из Play. Поэтому с 30 сентября 2026 года (Бразилия, Индонезия, Сингапур, Таиланд) и с 2027 года по всему миру Android требует, чтобы каждый разработчик был верифицирован — даже за пределами магазина. Zimperium: в компаниях каждый четвёртый телефон на Android имеет приложение, установленное не из магазина.

Для порядка: iOS тоже не безгрешна. В феврале 2025 года Kaspersky описал SparkCat — первое известное вредоносное ПО в App Store, которое читает скриншоты в поисках фраз восстановления криптокошельков. А в Евросоюзе с 2024 года iPhone тоже допускает альтернативные магазины (по данным TechCrunch, работают шесть), хотя каждое приложение по-прежнему проходит автоматическую и ручную «нотаризацию» Apple. Громкого инцидента с этими магазинами я пока не видел.

Фишинг: iPhone

• Lookout, Q3 2025: попытку фишинга зафиксировали на 16% устройств с iOS и 7,8% с Android. За весь 2024 год: 26% против 12%. Lookout честно добавляет: в компаниях iPhone получают директора и финансисты, так что это просто более ценная цель.
• Zimperium, 2026: фишинг на корпоративных телефонах вырос на 380% с января 2025 года, а шпионское ПО обнаружено почти на 1 из 10 устройств (в 4 раза больше, чем годом ранее).
• Google хвалится исследованием (YouGov, 5 тыс. человек в США, Индии и Бразилии), согласно которому пользователи Android на 58% чаще, чем пользователи iPhone, не получали за неделю ни одного мошеннического SMS. Исследование заказала Google, поэтому я отношусь к нему как к рекламе, — но фильтрация SMS и звонков с помощью ИИ сегодня действительно сильнее на стороне Android. ⚠️

Урок №7: Android проигрывает по вредоносному ПО, iPhone — по фишингу. Первое решается политикой («никаких приложений не из магазина», принудительно через MDM), второе телефоном не решить — потому что фишинг атакует человека, а не систему. На iPhone вашего финансового директора ссылка на «счёт» выглядит так же убедительно, как и везде.

Pegasus, Graphite и компания: кто становится целью

Коммерческое шпионское ПО — отдельная лига: Pegasus (NSO), Predator (Intellexa), Graphite (Paragon). Один факт, который стоит запомнить: у каждого из них есть версия для обеих систем. В 2025 году Citizen Lab подтвердила Graphite на iPhone двух журналистов (zero-click через iMessage, CVE-2025-43200, iOS 18.2.1) и одновременно на Android-смартфонах двух итальянских активистов (zero-click через WhatsApp). Один и тот же клиент, обе платформы.

• Apple рассылает уведомления об атаках шпионского ПО более чем в 150 странах; одна только августовская волна 2026 года дошла до пользователей в 110 странах. Число получателей Apple не раскрывает.
• Lockdown Mode: в марте 2026 года Apple заявила, что не знает ни одной успешной атаки коммерческого шпионского ПО на iPhone с включённым Lockdown Mode. Независимо это не проверено, но исследователи Google видели шпионское ПО, которое, обнаружив Lockdown Mode, просто отключается.
• Android: аналогичный режим Advanced Protection появился в Android 16 (2025). Пример с другой стороны: шпионское ПО LANDFALL эксплуатировало дыру в обработке изображений Samsung (CVE-2025-21042) около 9 месяцев, прежде чем вышел патч.
• Криминалистические инструменты: согласно утечкам из Cellebrite 2024 года, iPhone на iOS 17.4+ находились «в исследовании» (то есть не разблокировались), а согласно утечке октября 2025 года Pixel 9 с GrapheneOS не удаётся прочитать вообще — обычный Pixel удаётся. То есть то, что можно извлечь из изъятого телефона, зависит больше от версии системы и конфигурации, чем от логотипа.

Урок №8: Если кто-то готов потратить миллионы, чтобы взломать именно вас, операционная система вас не спасёт. Спасёт конфигурация — Lockdown Mode / Advanced Protection, обновления в день выхода, перезагрузка раз в день (большинство мобильного шпионского ПО не переживает перезагрузку) и понимание того, что «не кликать по ссылкам» уже недостаточно, ведь zero-click не требует клика.

Стены и лазейки: как работает защита и как атаки её обходят

На бумаге обе системы защищаются похоже. Каждое приложение сидит в отдельной «комнате» (sandbox, песочница) и не видит, что делают другие. Код должен быть подписан. Телефон при запуске проверяет, не подменил ли кто-то систему. Память защищают аппаратные механизмы в процессоре. Хорошая новость: эти стены практически никто не пробивает в лоб. Плохая: никому и не нужно. Атакующие ищут лазейки — и у каждой системы они свои.

iPhone: технические лазейки за миллионы

• BlastDoor против «GIF», который был PDF. В iOS 14 Apple заперла обработку сообщений iMessage в специальной песочнице BlastDoor. В 2021 году NSO (создатели Pegasus) отправляла жертвам файл с расширением .gif, который внутри был PDF. iMessage передавал GIF-файлы процессу, работающему вне BlastDoor, а графическая библиотека распознавала настоящий формат и запускала декодер с дырой (CVE-2021-30860). Внутри этого декодера эксплойт собрал из более чем 70 тыс. простых операций собственный виртуальный компьютер. Google Project Zero назвал это одним из самых технически изощрённых эксплойтов, которые ему доводилось видеть. А дальнейший побег из песочницы опирался исключительно на логические ошибки, поэтому аппаратная защита памяти, как признал Project Zero, не имела на него никакого влияния. Стена была хорошей. Просто не всё проходило через неё. Apple закрыла это в iOS 14.8, а начиная с iOS 15 GIF-файлы обрабатываются уже внутри BlastDoor.
• Operation Triangulation, или недокументированное железо. В 2023 году Kaspersky обнаружил, что iPhone его собственных сотрудников были заражены через невидимое сообщение iMessage. Цепочка включала 4 zero-day, обходила подпись указателей (PAC — механизм, который должен не дать перехватить управление программой) и — что самое интересное — аппаратную защиту памяти ядра. Для этого атакующие использовали регистры процессора, которых нет ни в какой документации и которые не использует даже ПО самой Apple (CVE-2023-38606). Kaspersky назвал это самой изощрённой атакой, которую его эксперты когда-либо видели.
• Когда стена выдержала: BLASTPASS. В сентябре 2023 года Citizen Lab поймала очередной zero-click от NSO, на этот раз через вложения Apple Wallet в iMessage. И тут хорошая новость: Citizen Lab и Apple единодушно подтвердили, что Lockdown Mode блокировал эту атаку. Режим отключает, в частности, большинство вложений в «Сообщениях», JIT-компиляцию в браузере (любимую точку входа эксплойтов), звонки от незнакомых, передачу данных по кабелю при заблокированном экране, а также установку конфигурационных профилей и MDM.
• Лазейка без эксплойта: профиль MDM. Если вам не по карману zero-day, можно просто попросить. GoldPickaxe (Group-IB, февраль 2024) сначала распространяли через TestFlight (официальную платформу Apple для тестирования приложений), а когда Apple его удалила, преступники уговаривали жертв во Вьетнаме и Таиланде установить профиль MDM — то есть отдать телефон под управление чужой «компании». Вредонос также просил записать видео лица, из которого делали дипфейки для обмана банковской биометрической проверки. Обратите внимание: Lockdown Mode блокирует именно установку профилей MDM.

Android: специальные возможности, или лазейка за копейки

У Android те же стены: sandbox, SELinux, проверенная загрузка, Play Protect с ИИ, анализирующим поведение приложений прямо на устройстве (с 2024 года). Но есть и то, чего iPhone сторонним приложениям не даёт: службы специальных возможностей (Accessibility Services).

Этот API создавался с благой целью — для незрячих, слабовидящих людей и людей с нарушениями моторики. Чтобы программа чтения с экрана могла прочитать незрячему, что на экране, а управление переключателями могло нажать за парализованного человека, приложение должно видеть всё на экране и уметь нажимать за пользователя. В любом приложении. В том числе банковском.

Для банковского трояна это ключи от королевства. Одно «Разрешить» — и приложение может:

• читать всё, что показывает телефон — логины, балансы, SMS-коды, — и записывать каждое нажатие клавиши,
• само нажимать «Разрешить» в следующих окнах и выдавать себе новые разрешения,
• перекрывать настоящее приложение поддельным экраном входа или чёрным экраном, под которым что-то происходит,
• и в конце концов само сделать перевод в вашем настоящем банковском приложении, на вашем телефоне. Для банка это выглядит как обычная операция с доверенного устройства клиента. 😈

Это не теория. Несколько примеров последних лет:

• Anatsa: около 150-200 тыс. заражений через поддельные PDF-ридеры и «чистильщики» в официальном Google Play (ThreatFabric, февраль 2024). Доступ к специальным возможностям они просили под предлогом «усыпления приложений, которые съедают батарею». В 2025 году очередной дроппер, маскировавшийся под PDF-ридер, собрал более 50 тыс. загрузок в США.
• Crocodilus (ThreatFabric, март 2025): захватывает телефон, а чтобы жертва не видела, как устройство управляется само, показывает чёрный экран и отключает звук.
• Herodotus (ThreatFabric, октябрь 2025): вводит текст буква за буквой со случайными паузами от 0,3 до 3 секунд, чтобы антифрод-системы банков решили, что печатает человек. В списке его поддельных экранов есть, в частности, Польша.
• FvncBot — у нас во дворе: выдавал себя за «Ключ безопасности mBank» (Intel 471, декабрь 2025). CERT Polska (март 2026) описал, как после установки он регистрирует службу специальных возможностей с невинным названием «System Update» и правом читать содержимое окон и выполнять жесты. Дальше — запись нажатий клавиш, поддельные экраны, трансляция изображения и удалённое управление телефоном. Для порядка: не каждый польский троян работает одинаково — описанный выше NGate крадёт через NFC, и специальные возможности ему не нужны.

Google об этом знает и много лет играет с преступниками в кошки-мышки:

• Android 13 (2022): приложение, установленное из скачанного APK-файла, не может запросить специальные возможности — опция неактивна.
• Ответ преступников (2023): ThreatFabric описал SecuriDropper — приложение-посредник, которое устанавливает настоящий вредонос тем же способом, что и магазин приложений. Система не отличает одно от другого, поэтому блокировка не срабатывает. FvncBot в 2025 году делал ровно то же самое.
• Android 15 и 16: ограничения распространились на другие чувствительные разрешения, а с декабря 2025 года Google Play отклоняет приложения, которые выдают себя за инструменты для людей с инвалидностью, не являясь ими. Play Protect блокирует их и на телефонах.
• Android 17: включение режима Advanced Protection автоматически отбирает доступ к специальным возможностям у всех приложений, которые не являются настоящими инструментами доступности (программы чтения с экрана, управление переключателями, голосом, Брайль). Подвох: только если вы этот режим включите. Доступ потеряют и, например, менеджеры паролей и приложения для автоматизации.

У iPhone такой проблемы нет по простой причине: сторонние приложения не получают API, позволяющего читать другие приложения и нажимать за пользователя. VoiceOver — часть системы. Это одна из главных причин, почему мобильные банковские трояны — это почти исключительно Android.

Практический тест на 30 секунд: зайдите в «Настройки» → «Специальные возможности» и проверьте список скачанных/установленных приложений с включённым доступом. Если вы видите там хоть что-то, кроме инструмента, которым сознательно пользуетесь (программа чтения с экрана, голосовое управление), и особенно «обновление системы», «PDF-ридер» или «ключ безопасности банка» — отключите телефон от интернета и позвоните в банк. Банковскому приложению это разрешение не нужно. ⚠️

Урок №9: Стены сегодня высоки в обеих системах. В iPhone входят через технические лазейки стоимостью в миллионы — через экзотические форматы файлов и недокументированные регистры процессора. В Android преступник чаще входит через человеческую лазейку за копейки: один клик «Разрешить» в специальных возможностях даёт ему больше, чем эксплойт за миллион долларов. Поэтому на Android обучение пользователей и блокировка установки не из магазина важнее, чем модель телефона.

Вердикт: таблица баллов

Моя субъективная оценка — но каждая графа опирается на цифры выше. «Android» здесь означает Pixel или Samsung с полной поддержкой; noname из супермаркета проигрывает обоим в каждой графе.

Если сжать всё до одного предложения: iPhone безопаснее «из коробки» для человека, который ничего не настраивает; хорошо управляемый Pixel или Samsung с MDM как минимум столь же безопасен для компании, которая настраивает. А худший выбор — Android без поддержки обновлений, независимо от цены.

7 вещей, которые нужно сделать независимо от системы

1. Автоматические обновления: включены и проверены. Единственный параметр в этом посте, по которому платформы различаются в десять раз. Для Android в компании: принудительно через MDM и со сроком.
2. Никаких приложений не из магазина. В 50 раз больше вредоносного ПО. Если у вас нет MDM, отключите «неизвестные источники» и включите Auto Blocker (Samsung) или Play Protect. Время от времени проверяйте, у каких приложений есть доступ к специальным возможностям. На iPhone — не устанавливайте конфигурационные профили и MDM по ссылкам.
3. Lockdown Mode / Advanced Protection для правления, финансов, юристов, HR. Да, часть функций перестанет работать. Это и есть цена.
4. Перезагрузка раз в день. Звучит глупо, но работает против большей части мобильного шпионского ПО, которое не умеет закрепляться в системе.
5. Выбирайте по сроку поддержки, а не по камере. 7 лет (Pixel, Galaxy S) или iPhone. Телефон без обновлений через 2 года — это телефон, для которого публичный прайс-лист эксплойтов превращается в бесплатный.
6. Процедуры, устойчивые к фишингу. iPhone руководителя получит ссылку точно так же, как Android кладовщика. Смена реквизитов контрагента, нетипичный перевод, «срочно» от начальника — всегда второй канал и второй человек.
7. Протестируйте собственное мобильное приложение. Если ваша компания выпускает приложение для iOS или Android, то именно оно — а не система — самое слабое звено. Apple и Google тратят сотни миллионов в год на свою часть; ваша часть стоит нескольких дней тестирования. Если хотите узнать, сколько именно, посчитайте в калькуляторе, а если предпочитаете поговорить — напишите мне.

FAQ

iPhone безопаснее, чем Android?

«Из коробки» — да: патчи быстрее доходят до устройств (79% iPhone на iOS 26 против 7,5-38% Android-устройств на Android 16), нет массового вредоносного ПО и есть один закрытый магазин приложений. Но хорошо управляемый Pixel или Samsung с 7-летней поддержкой и MDM для компании столь же безопасен, а более дешёвые Android-смартфоны без поддержки проигрывают обоим.

Сколько уязвимостей (CVE) у Android и сколько у iOS?

По данным Zimperium, в 2024 году у Android было 501 CVE, у iOS — 317. Цифры не вполне сопоставимы: в Android учитываются компоненты Qualcomm, MediaTek и других компаний, а Android как open source исследует больше специалистов.

Сколько стоит эксплойт для iPhone и Android?

Crowdfense (прайс 2024 года, актуален) платит до 5-7 млн $ за zero-click цепочку для iOS и до 5 млн $ для Android. Российская Operation Zero платит 2 млн $ за iOS и 2,5 млн $ за Android. В 2019 году Zerodium оценивала Android выше (2,5 против 2 млн $).

Как быстро Apple и Google закрывают уязвимости?

По данным Google Project Zero (2019-2021), iOS требовалось в среднем 70 дней от сообщения до патча, Pixel и Samsung — по 72. Разница в том, как патч доходит до пользователей: Apple обновляет почти всю базу устройств за несколько месяцев, а обновления Android зависят от производителя телефона.

Можно ли взломать iPhone без клика?

Да. Zero-click атаки (например, Graphite компании Paragon через iMessage в 2025 году, CVE-2025-43200) существуют для обеих систем. От них защищают Lockdown Mode (iOS) и Advanced Protection (Android 16), а также немедленные обновления. Apple утверждает, что не знает ни одной успешной атаки шпионского ПО на телефон с Lockdown Mode.

Почему специальные возможности в Android опасны?

Службы специальных возможностей (Accessibility Services) созданы для людей с инвалидностью, поэтому позволяют приложению читать всё на экране и нажимать за пользователя. Банковские трояны, такие как Anatsa, Herodotus или нацеленный на польских пользователей FvncBot, уговаривают жертву включить этот доступ, а затем крадут пароли и сами выполняют переводы в настоящем банковском приложении. Android 13 и новее затрудняют это для приложений не из магазина, а Android 17 с режимом Advanced Protection отбирает этот доступ у приложений, которые не являются инструментами доступности. iOS не даёт такого API сторонним приложениям.

Какой телефон выбрать для компании?

iPhone или Android с гарантированной 7-летней поддержкой (Pixel 8+, Galaxy S24+), всегда под MDM, с принудительными обновлениями и запретом установки не из магазина. Для правления и финансов — режим Lockdown / Advanced Protection.

Итоги

Годами этот спор напоминал болельщицкие баталии. Цифры показывают нечто одновременно более скучное и более интересное: у источника Apple и Google сегодня играют в одной лиге — закрывают дыры примерно с одинаковой скоростью, платят миллионы за уязвимости, а их флагманы стали целями, которые по карману только государствам. Различия — дальше по цепочке: в том, сколько телефонов на самом деле получает патч, откуда пользователь устанавливает приложения и кто держит телефон в руке. iPhone выигрывает у людей, которые ничего не настраивают. Android выигрывает у компаний, которые настраивают, — при условии, что они купили телефон с поддержкой. А проигрывает всегда тот, кто не обновляется. 🔓

Если хотите увидеть, как ваше мобильное приложение или парк телефонов выглядит глазами атакующего, — вы знаете, где меня найти.

Источники данных, использованных в посте

• StatCounter — доли мобильных ОС в мире и в Польше (09.2026)
• Google — политика обновлений Pixel (support.google.com); Samsung / 9to5Google — 7 лет поддержки Galaxy S25 (01.2025); Apple — iOS 26 security content (09.2025)
• Zimperium — Global Mobile Threat Report 2025 (04.2025) и сообщение об отчёте 2026 (07.2026)
• Google Security Blog — «Eliminating memory safety vulnerabilities at the source» (09.2024); Google — «Rust in Android: move fast and fix things» (11.2025)
• Apple Security Research — «Memory Integrity Enforcement» (09.2025); «A major evolution of Apple Security Bounty» (10.2025)
• Google Threat Intelligence Group — «2024 Zero-Day Trends» (04.2025) и «2025 Zero-Day Review» (03.2026); SecurityWeek — обзор (03.2026)
• Google Project Zero — «A walk through Project Zero metrics» (02.2022); Reporting Transparency 2025 (по состоянию на 17.03.2026)
• Android Security Bulletin — июль 2025 и декабрь 2025; Android Authority — система обновлений на основе рисков (09.2025); SecurityWeek (07.2025); BleepingComputer (12.2025)
• Help Net Security — первые Background Security Improvements от Apple (03.2026); Apple / 9to5Mac — iOS 26.7.1, CVE-2026-86950 (28.09.2026); Android Security Bulletin — октябрь 2026; MacRumors — выход iOS 27 (09.2026)
• Apple / MacRumors — распространение iOS 26 (06.2026); Google / 9to5Google — распределение версий Android (01.2026); StatCounter — версии Android (09.2026)
• Crowdfense — Exploit Acquisition Program; TechCrunch (04.2024); Operation Zero — прайс-лист (opzero.ru); TechCrunch (09.2023); Threatpost — Zerodium (09.2019); CyberScoop / The Hacker News — дело Питера Уильямса (2025-2026)
• Zero Day Initiative — результаты Pwn2Own Ireland 2024, 2025 и 2026; BleepingComputer (09.10.2026); Privacy Guides (13.10.2026); SecurityWeek (10.2024)
• Google — VRP 2024 (03.2025) и VRP 2025 (03.2026); SecurityWeek — разбивка по программам (03.2026) и изменения Android VRP (05.2026); Samsung Newsroom (11.2024)
• Apple Newsroom — App Store fraud prevention 2025 (05.2026); Google — «How we kept Google Play safe in 2025» (02.2026)
• Kaspersky Securelist — «Mobile malware evolution in 2025» (03.2026) и 2024 (03.2025); Lookout — Q3 2025 Mobile Threat Landscape; Lookout / Business Wire (04.2025, 01.2026); ESET Threat Report H2 2025 (12.2025)
• CERT Polska — анализ NGate (11.2025), FvncBot (03.2026), Cifrat (04.2026)
• Android Developers Blog — верификация разработчиков (08.2025, 06.2026); TechCrunch — альтернативные магазины в ЕС (03.2025); Apple — распространение приложений в ЕС
• Google — «How Android provides the most effective protection…» (10.2025, исследование по заказу Google)
• Citizen Lab — Report 186, Paragon Graphite (06.2025); Apple Support — уведомления об угрозах; The Hacker News (08.2026); TechCrunch — Lockdown Mode (03.2026); The Record / Unit 42 — LANDFALL (11.2025)
• 404 Media / TechSpot — утечки Cellebrite (07.2024, 10.2025); Android Authority (10.2025)
• Google Project Zero — «A deep dive into an NSO zero-click iMessage exploit» (12.2021) и «FORCEDENTRY: Sandbox Escape» (03.2022); SecurityWeek (12.2021)
• Kaspersky — Operation Triangulation (06.2023); Securelist — «The last (hardware) mystery» (12.2023)
• Citizen Lab — BLASTPASS (09.2023); Apple — Lockdown Mode (Newsroom 07.2022, Personal Safety User Guide)
• Group-IB — GoldPickaxe / GoldFactory (02.2024)
• ThreatFabric — SecuriDropper (11.2023), Octo (04.2022), Crocodilus (03.2025), Anatsa (07.2025), Herodotus (10.2025); BleepingComputer — Anatsa (02.2024); The Hacker News — Hook v3 (08.2025)
• Google Security Blog — Android 15 и Play Protect live threat detection (05.2024); Android Developers Blog — защита API специальных возможностей (12.2025); The Hacker News — Android 17 Advanced Protection и специальные возможности (03.2026, 10.2026)
• Intel 471 — FvncBot (12.2025); CERT Polska — анализ FvncBot (03.2026)