Saznajte kako „zero-click“ napad može pogoditi Android bez klika na poruku

Većina digitalnih prevara traži jedan pogrešan potez: dodir na link, instalaciju aplikacije ili unos lozinke na lažnoj stranici. Kod „zero-click“ napada taj korak može potpuno izostati. Dovoljno je da ranjiva komponenta telefona automatski obradi pažljivo pripremljen poziv, poruku, sliku ili drugi podatak koji je stigao do uređaja.

Naziv „zero-click“ ne opisuje posebnu vrstu zlonamjernog programa, nego način ulaska: korisnik ne mora uraditi ništa. Telefon, naime, mnogo podataka obrađuje u pozadini — prikazuje obavještenja, priprema pregled medijskih datoteka, provjerava komunikaciju ili upravlja mrežnim vezama. Ako se u nekoj od tih komponenti nalazi greška, napadač može pokušati poslati sadržaj oblikovan tako da grešku aktivira prije nego što korisnik uopšte vidi bilo šta sumnjivo.

To ne znači da svaka neobična poruka ili propušten poziv automatski predstavlja napad. Za uspješan prodor potreban je konkretan propust u određenoj verziji softvera, a često i niz propusta koji se međusobno nadovezuju. Upravo zato su ovakvi napadi tehnički zahtjevni i daleko su bliži ciljanim operacijama nego masovnim prevarama sa lažnim dostavama i nagradnim igrama.

Jedna ranjivost često nije dovoljna

Savremeni Android odvaja aplikacije u izolovana okruženja, poznata kao sandbokse, i koristi dodatne mehanizme zaštite sistema. Ako napadač iskoristi grešku u aplikaciji ili komponenti koja obrađuje pristigli sadržaj, taj početni pristup ne mora automatski značiti potpunu kontrolu nad telefonom.

Zbog toga se u ozbiljnijim napadima ponekad kombinuju različiti propusti: jedan za pokretanje koda, drugi za izlazak iz ograničenog okruženja, a treći za šira ovlašćenja. Google je u ranijim analizama ciljanih kampanja protiv Android uređaja opisao upravo takve lance napada, u kojima su uz propust u pregledniku korišteni dodatni koraci za izlazak iz njegovog sandboksa i podizanje privilegija.

Važno je razlikovati tri izraza koji se često miješaju. „Zero-click“ govori da nije bila potrebna radnja korisnika. „Zero-day“ znači da proizvođač u trenutku otkrivanja ili zloupotrebe još nije imao javno dostupnu zakrpu. Špijunski softver je, pak, mogući završni teret napada — program koji se pokušava instalirati nakon iskorištavanja ranjivosti. Jedan napad može imati sve tri osobine, ali ne mora.

Zašto ažuriranje ostaje presudno

Kada se propust otkrije i zakrpi, njegova praktična vrijednost za napadača naglo opada kod uređaja koji su dobili ispravku. Android sigurnosni bilteni redovno navode ranjivosti za koje nije potrebna interakcija korisnika; primjer iz avgusta 2025. odnosio se na kritični propust u sistemskoj komponenti Androida 16, koji je u kombinaciji s drugim greškama mogao omogućiti udaljeno pokretanje koda bez dodatnih ovlašćenja i bez radnje korisnika.

Zato je kod ovakvih prijetnji važnije stanje softvera nego vještina prepoznavanja sumnjivog linka. Sigurnosne zakrpe stižu kroz ažuriranja operativnog sistema, a dio ispravki može doći i kroz ažuriranja Google Play sistema ili pojedinih aplikacija. Brzina isporuke ipak zavisi od proizvođača telefona, modela i toga da li je uređaj još u periodu podrške.

„Zero-click“ napadi podsjećaju da sigurnost telefona nije samo pitanje opreza na internetu. Oprez ostaje koristan protiv velikog broja prevara, ali ne može zaustaviti grešku koja se aktivira prije bilo kakvog klika.