Какие скриншоты нельзя хранить на айфоне

Если вы привыкли сохранять все важное скриншотом, эту новость лучше не пролистывать. Вирус для iPhone, который весной попал в открытый доступ, никуда не делся. Исследователи нашли его серверы рабочими и смогли заглянуть внутрь. Оказалось, что теперь он не просто пробирается в смартфон, а прицельно роется в галерее и заметках. Ищет он снимки одного конкретного типа, и многие хранят такие годами, давно забыв про них. Ниже разберем, что именно нужно вирусу, у кого есть повод волноваться и как убрать с айфона то, что его интересует.

Список из 12 слов — так выглядит фраза восстановления на скриншоте

DarkSword снова в деле, но цель у него другая

Про DarkSword впервые подробно рассказали в Google Threat Intelligence Group еще в марте 2026 года. Тогда это был набор эксплойтов, который через обычный сайт в Safari пробивал защиту iPhone и получал полный доступ к системе. Apple закрыла дыры, новость утихла. В октябре о нем снова заговорили: специалисты компании Censys между 15 и 17 сентября нашли несколько открытых серверов, на которых лежали боевые сборки DarkSword вместе с вредоносной программой Coruna.

iPhone на столе, на заднем плане компьютер с работающим вирусом

Схема у них поделена на две части. DarkSword взламывает браузерный движок WebKit и добирается до SpringBoard, то есть до той части iOS, которая отвечает за рабочий стол и запуск приложений. А Coruna уже работает на зараженном айфоне и забирает данные. По оценке Censys, за находкой стоит китайскоязычный коммерческий сервис со своей админ-панелью и системой перепродажи доступа. Проще говоря, взлом айфонов продают как обычную услугу, и пользоваться им может любой, кто заплатит.

Чтобы не пропустить, когда Apple выпустит следующую заплатку от подобных атак, подписывайтесь на наши каналы в Telegram и МАКС: новости о безопасности iOS мы ставим в ленту в тот же день.

Зачем вирусу ваши скриншоты

Главная добыча Coruna — криптовалюта. В программе есть отдельные модули под конкретные кошельки, исследователи насчитали их 18. Публично названы девять: Bitpie, Coinbase, Exodus, imToken, MetaMask, Phantom, Trust Wallet, Uniswap и OKX. Из этих приложений вирус вытаскивает ключи и балансы. Но авторы понимали, что кошелек может стоять не на этом телефоне, а на компьютере или в браузере. Поэтому есть второй путь.

Экран MetaMask с фразой восстановления — такие снимки и ищет вирус

Coruna сканирует приложения «Фото» и «Заметки» в поисках фразы восстановления BIP39. Это те самые 12 или 24 английских слова, которые кошелек показывает при создании и просит где-то записать. Кто бы их ни увидел, он получит доступ ко всем монетам, причем пароль и Face ID уже не понадобятся. Самое неприятное: программа проверяет контрольную сумму и отправляет злоумышленникам только настоящие фразы. Случайный список слов из учебника английского ее не обманет, а вот скриншот экрана MetaMask она узнает сразу.

И это не теория. На одном из серверов Censys нашла 11 уже украденных фраз восстановления и 179 папок с данными с устройств. Сколько среди них реальных жертв, исследователи честно не знают, но фразы там лежали самые настоящие. Кроме криптовалюты, вирус умеет забирать контакты, SMS, переписку в Telegram и WhatsApp, данные браузеров и даже делать снимки камерой.

Откуда вообще берутся такие скриншоты? Кошелек показывает фразу один раз, ручки под рукой нет, а айфон есть. Нажал две кнопки, и вроде бы задача решена. Потом снимок тонет среди тысяч других фотографий, и про него просто забывают.

Какие айфоны под угрозой

Все уязвимости, через которые работает DarkSword, Apple закрыла в iOS 26.3 и iOS 18.7.3. Владельцам старых моделей, которые не обновляются до iOS 26, компания весной выпустила отдельное обновление iOS 18, так что ставить новую систему ради защиты не обязательно. Если на вашем айфоне iOS 27 или любая версия начиная с 26.3, этой цепочки эксплойтов можно не бояться. Проверить версию можно в Настройки — Основные — Об этом устройстве.

Проверка версии iOS на iPhone

Censys уточняет любопытную деталь. Рабочие цепочки в найденных сборках рассчитаны на iOS 13-18, а модули под iOS 26 пока сырые и в разработке. Но Macworld и другие издания пишут, что атакам подвержены айфоны на iOS 26.2 и ниже, и я бы не стал проверять на себе, кто из них прав. Если вы сидите на старой прошивке, лучше обновиться.

В России с этим особенно сложно. Многие откладывают апдейты годами, потому что боятся остаться без приложений банков, которых уже нет в App Store. Рискованно только сбрасывать айфон или восстанавливать его из копии — обычное обновление по воздуху банковские приложения не трогает. При этом криптокошельки у нас популярны как способ платить за зарубежные сервисы, так что совпадение получается неудачное: старая iOS и скриншот с фразой на одном телефоне.

Есть еще одна настройка, которую стоит проверить. С iOS 26 Apple умеет закрывать дыры без полноценного обновления системы, через фоновые улучшения безопасности. Откройте Настройки — Конфиденциальность и безопасность, пролистайте в самый низ и убедитесь, что автоматическая установка таких исправлений включена.

Избавляемся от опасных снимков за пять минут

Даже если ваш айфон обновлен, фразу восстановления в галерее держать не стоит. Сегодня ее ищет Coruna, завтра появится другая программа, а снимки еще и уезжают в iCloud, где их может увидеть любой, кто узнает пароль от Apple ID. Выручает то, что iOS умеет искать текст на фотографиях, поэтому листать всю галерею вручную не придется.

Порядок действий такой:

Поиск в галерее iPhone

1. Открываем приложение «Фото» и нажимаем на значок поиска.
2. Вводим по очереди слова, которые кошельки пишут на экране с фразой: «Recovery Phrase», «Secret», «Seed», «фраза восстановления», а также названия ваших кошельков.
3. Проверяем результаты и удаляем все снимки с наборами слов. Отдельно загляните в альбом «Скрытые».
4. Прокручиваем «Фото» вниз до раздела «Утилиты», открываем «Недавно удаленные» и стираем эти снимки окончательно.
5. В «Заметках» вводим те же слова в поиск, удаляем найденное и очищаем папку «Недавно удаленные».

Последние шаги многие пропускают, а зря. И в «Фото», и в «Заметках» удаленное хранится еще 30 дней, и для вируса такой снимок ничем не отличается от обычного. Если галерея синхронизируется с iCloud, удаление сработает и на других ваших устройствах, но на Mac тоже стоит пройтись поиском по папке «Загрузки» и рабочему столу.

Не забудьте про мессенджеры. Многие отправляют фразу в «Избранное» Telegram, чтобы не потерять, а Coruna как раз умеет собирать переписку. Там тоже лучше поискать по словам из кошелька. Не получается найти снимок или не понимаете, что именно удалять? Пишите в наш чат в Telegram или МАКС, только саму фразу туда не присылайте.

Где хранить фразу восстановления вместо галереи

Самый надежный вариант звучит старомодно: бумага. Перепишите 12 или 24 слова от руки, проверьте порядок и уберите листок туда, где лежат паспорт и другие документы. Фото этого листка делать нельзя, иначе вы вернетесь к тому, с чего начали. Многие делают две копии и хранят их в разных местах на случай пожара или потопа.

Бумага боится воды и времени, поэтому умельцы переносят слова на металлические пластины с выбитыми буквами. Такие наборы и прочие полезные мелочи для дома можно найти в канале «Сундук Али-Бабы» в МАКС. А если на кошельке лежит серьезная сумма, стоит посмотреть в сторону аппаратного кошелька: ключ в нем вообще не попадает в смартфон.

Так какие скриншоты нельзя держать на айфоне? В первую очередь снимки с фразами восстановления от криптокошельков, а заодно фото паспорта, банковских карт и кодов двухфакторной защиты. Если фраза у вас уже лежала в галерее, а телефон давно не обновлялся, честнее всего создать новый кошелек и перевести монеты туда. Старый уже не стоит считать безопасным.