GreyOps
Kennisbank

iOS-hardening tegen spyware

Bannerbeeld: een iPhone op een houten tafel, met op het scherm een schild met vinkje en drie instellingsschakelaars. Daarnaast de tekst Factsheet, iOS-hardening tegen spyware, GreyOps

Over de bescherming van je telefoon tegen spyware gaat veel onzin rond. Steeds vaker beloven partijen dat ze mobiele spyware kunnen opsporen, een toestel “schoon” kunnen verklaren. Dat is een valse belofte. Zulke claims steunen veelal op specifieke hardware, die vaak weer is gebaseerd op de (open source) Mobile Verification Toolkit (MVT). Amnesty, de maker van MVT benadrukt zelf dat een negatieve uitkomst niet bewijst dat een toestel schoon is. Er zijn genoeg telefoons die niet besmet zijn, maar waterdicht vast te stellen is dat niet, omdat een besmette telefoon doorgaans hetzelfde beeld zal geven.

Meer zinvol is om de routes die aanvallers gebruiken te blokkeren. Deze factsheet bundelt de instellingen die het meest opleveren. Elke aanbeveling is gebaseerd op dreiginginformatie uit openbare bronnen, met de onderbouwing in de voetnoten. De volgorde loopt van geen impact op je gebruiksgemak tot maximale bescherming. Zo kun je zelf afwegen hoeveel gebruiksgemak je inlevert. Geen enkele set maatregelen biedt volledige bescherming. Ze verkleinen de kans dat een aanval slaagt, en de schade als dat toch gebeurt.

Twee kanttekeningen. Deze maatregelen verkleinen de kans op besmetting, maar verwijderen bestaande niet. Vermoed je dat je toestel besmet is, dan is vervanging het best. Kies een iPhone met Memory Integrity Enforcement (iPhone 17, iPhone Air of nieuwer) en pas alles hieronder direct toe bij de eerste ingebruikname. Beveilig al je accounts opnieuw; zie Wat instellingen niet voor je regelen. Deze factsheet richt zich enkel op iOS; de Android-versie is in voorbereiding en verschijnt op de factsheetpagina.

Versie 1, oktober 2026, gebaseerd op iOS 27.

Basishygiëne: vrijwel geen impact op gebruik

  • Instellingen → Algemeen → Software-update → Automatische updates → Download automatisch en Installeer automatisch → Aan

    Dit beschermt tegen bekende kwetsbaarheden zodra Apple ze verhelpt. In maart 2026 bleek dat de DarkSword-spyware via gehackte websites iPhones met iOS 18.4 tot en met 18.6.2 besmette. Slechts het bezoeken van zo’n site was genoeg. Apple heeft dit inmiddels gedicht, maar naar schatting 220 tot 270 miljoen iPhones draaiden nog een kwetsbare versie.1

  • Instellingen → Apps → App Store → App-updates → Aan

    iOS-updates dekken alleen het besturingssysteem; apps krijgen aparte updates. In augustus 2025 dichtte WhatsApp een zero-click-lek in zijn iOS-app, dat aanvallers combineerden met een iOS-kwetsbaarheid tegen een kleine groep gerichte doelwitten. Wie alleen iOS bijwerkt, laat dus een deel van de aanvalsketen open.2

  • Instellingen → Privacy en beveiliging → Beveiligingsverbeteringen op de achtergrond → Installeer automatisch → Aan

    Apple kan zo kwetsbaarheden tussen grote updates door verhelpen, zoals recent bij CVE-2026-20643, waarmee via het web de beveiliging kon worden omzeild.3

  • Instellingen → Algemeen → VPN- en apparaatbeheer → Mobile Device Management

    Kijk of hier een profiel staat, wat niet het geval zou moeten zijn op je privételefoon. Verwijder onbekende, niet-vertrouwde profielen. Er is een methode waarbij criminelen deze functionaliteit misbruikten om de reguliere WhatsApp- en Telegram-app te verbergen en kwaadaardige alternatieven te installeren, zonder inzet van malware.4

  • Instellingen → Apps → Safari → Verberg IP-adres → Trackers en websites

    De Predator-spyware gebruikt een vector genaamd Aladdin. Daarmee wordt een kwaadaardige advertentie op de telefoon van het doelwit getoond: het bekijken ervan is al genoeg voor infectie. De gelekte documentatie beschrijft targeting op basis van je publieke IP-adres. Het verbergen van daarvan voorkomt die targeting, maar alleen voor Safari-verkeer; advertenties binnen apps vallen er grotendeels buiten. De optie “Trackers en websites” vereist Privé-relay (iCloud+). Zonder Privé-relay verberg je je IP-adres alleen voor trackers.5

  • Instellingen → Privacy en beveiliging → Tracking → Sta trackingverzoeken van apps toe → Uit

    Hiermee kunnen apps niet bij de advertentie-ID (ad-ID) van je toestel. Recent is de Candiru-spyware verspreid via gerichte advertenties; weergave was genoeg voor infectie. Via het Controlium-platform van Discover-Tech selecteerden spywareleveranciers doelwitten op ad-ID. Confiant vond aanwijzingen dat ze zijn weergegeven binnen het ministerie van Economische Zaken. Een advertentie stelt geen targeting of infectie vast, maar is wel een route. Targeting op IP-adres en cookie-ID blijft mogelijk; deze instelling sluit één route af, niet alle.16, 33

  • Instellingen → Algemeen → Toetsenbord → Toetsenborden → verwijder toetsenborden van derden (of zet minimaal “Sta volledige toegang toe” uit)

    Een toetsenbord met volledige toegang ziet alles wat je typt, inclusief wachtwoorden. Citizen Lab vond bij veel onderzochte toetsenborden kwetsbaarheden waardoor toetsaanslagen onderweg te ontsleutelen waren. Het onderzoek omvatte onder meer toetsenborden van Baidu en iFlytek. Er is geen bewijs van misbruik, maar de kwetsbaarheden zijn praktisch inzetbaar.6

  • Instellingen → Schermtijd → Content en privacy → Aan → App-installaties en -aankopen → Apps installeren → Sta niet toe (zowel Appmarktplaatsen als Web)

    Installeer geen apps van buiten de officiële App Store, omdat Apple hiervoor niet de volledige beveiligingsbeoordelingen uitvoert. Als je dit wilt maximaliseren, kun je “Apps installeren” helemaal uitschakelen; de App Store verdwijnt dan.7

  • Instellingen → Apps → Safari → Meld onveilige verbindingen → Aan

    Predator gebruikt een injectiesysteem (Mars) dat bij de telecomprovider wordt geplaatst. Zodra het doelwit een HTTP-pagina bezoekt, wordt het ongemerkt doorgestuurd naar de infectieserver. Het systeem antwoordt met een doorverwijzing naar een besmette pagina, waarna het toestel meteen besmet is. Sinds iOS 18.2 kun je een waarschuwing krijgen bij websites die HTTP gebruiken. Safari laadt de onversleutelde pagina dan pas na jouw bevestiging.8

Bewuste keuzes: beperkte impact op gebruik

  • Instellingen → Wifi → (i) naast het netwerk → Verbind automatisch → Uit

    Zet automatisch verbinden uit voor openbare of onvoldoende vertrouwde netwerken, want een aanvaller kan een vertrouwd netwerk imiteren. Apple stelt dat dit bij bepaalde providers zelfs je mobiele identiteit kan blootstellen.9

  • Regelmatige herstarts

    De TriangleDB-spyware uit Operation Triangulation (2023) draaide uitsluitend in het werkgeheugen en verdween bij een herstart. Dit voorkomt herinfectie niet en beschermt ook niet tegen persistente spyware.10

  • Instellingen → [je naam] → iCloud → Geavanceerde gegevensbescherming → Aan

    Schakel dit in om onder meer iCloud-back-ups, Foto’s en Notities end-to-end te versleutelen tegen toegang via de cloud. In het Verenigd Koninkrijk biedt Apple deze mogelijkheid niet meer aan na druk van de overheid, omdat er zo minder gegevens gevorderd kunnen worden. Bewaar je herstelsleutel goed of stel een herstelcontact in, want ook Apple kan je gegevens dan niet meer herstellen.11

  • Instellingen → Algemeen → AirDrop → Ontvangen uit

    Onderzoekers ontdekten recent drie mogelijkheden in AirDrop, waaronder om de telefoon vast te laten vastlopen. Misbruik in het wild is nog niet aangetoond.12

  • Beperk het aantal geïnstalleerde apps

    Elke app introduceert kwetsbaarheden en vergroot zo het aanvalsoppervlak. Het Pegasus-systeem controleert vóór een aanval welke apps op het toestel staan, zoals WhatsApp of iMessage. Elke messenger is een extra kandidaat-route. De SparkCat-trojan (2026) werd zelfs via apps in de officiële App Store verspreid en kon gevoelige gegevens stelen.13, 14

  • Scheid privé en zakelijk gebruik

    De iPhone van een medewerker van een financiële instelling werd besmet terwijl hij langs een voetbaladvertentie op Instagram scrolde. De kwaadaardige code startte zodra de advertentie in beeld kwam, checkte iOS-versie en zette een exploit (DarkSword) in. Het slachtoffer hoefde niets te doen. De aanval werkte alleen op toestellen met een verouderde iOS-versie, dus bijwerken is de eerste verdediging. Kun je een app als Instagram niet missen, gebruik die dan niet op het toestel waarop je zakelijke accounts en gegevens staan.15

  • VPN naar een aanbieder buiten het land waar je bent

    Predator kent ook een uitbreiding (Jupiter) die injectie uitvoert op versleuteld HTTPS-verkeer, maar enkel bij websites die in het land van het doelwit worden gehost. Een VPN-verbinding naar een aanbieder buiten het rechtsgebied stuurt het verkeer versleuteld langs de lokale provider. Zo hebben zowel Mars als Jupiter geen aanknopingspunt. Dit is vooral relevant op reis naar risicolanden. De afweging: de VPN-aanbieder krijgt inzicht in je verkeer.8

  • Advertentiefiltering met DNS

    Gebruik dit als aanvullende beveiligingslaag, omdat Citizen Lab in recente berichtgeving over AdFection (oktober 2026) aantoonde dat gerichte online advertenties zonder gebruikersinteractie Candiru-spyware konden afleveren. De filtering van advertentienetwerken door VPN-apps kan deze aanvalsmethode helpen blokkeren, maar vereist een privacyafweging, omdat de VPN-aanbieder inzicht krijgt in je DNS-verzoeken. Advertenties binnen apps worden niet altijd geblokkeerd, dus het nut is beperkt.16

Aanvalsoppervlak verkleinen: merkbare impact op gebruik

  • Instellingen → Bluetooth → Uit

    Beperk het aanvalsoppervlak als je Bluetooth niet gebruikt. Uitschakelen via het Bedieningspaneel verbreekt alleen actieve verbindingen, maar schakelt Bluetooth niet volledig uit. In september 2026 werden diverse Bluetooth-kwetsbaarheden bekend, waarmee aanvallers onder meer eigen code konden uitvoeren. Apple heeft ze gepatcht, maar onbekende kwetsbaarheden blijven mogelijk.17

  • Instellingen → Wifi → Uit

    Beperk bij een verhoogd risico het aanvalsoppervlak als je wifi niet gebruikt. In 2020 bouwde Project Zero een zero-click-exploit waarmee aanvallers een iPhone binnen radiobereik overnamen en persoonlijke gegevens buitmaakten. Dit is gepatcht, maar onbekende kwetsbaarheden blijven mogelijk. Ook hier geldt: uitschakelen via het Bedieningspaneel deactiveert wifi niet volledig.18

  • Instellingen → Apps → Berichten → iMessage → Uit

    De berichtendienst van Apple is een bekende route voor zero-click, waarbij je device wordt geïnfecteerd zonder dat je ergens op klikt. In september 2026 schreef Citizen Lab dat een Servische activist via iMessage met een zero-click-exploit werd geïnfecteerd; zonder iets te openen of aan te klikken.19

  • Instellingen → Apps → Safari → Geavanceerd → JavaScript → Uit

    Schakel JavaScript uit als je de beperkingen accepteert die dit geeft voor websurfen; het uitschakelen van scripting verkleint het aanvalsoppervlak. Citizen Lab liet zien dat de Predator-spyware zich kon installeren via een kwaadaardige link die met JavaScript werd geopend.20

Verhoogd risico: maximale bescherming

  • Instellingen → Privacy en beveiliging → Isolatiemodus → Schakel isolatiemodus in → Schakel in

    Deze optie is zeer effectief maar niet populair. In apps merk je er nog weinig van, maar vooral in webbrowsing: deze modus blokkeert sommige technieken, waardoor sites trager laden, lettertypen wegvallen en afbeeldingen niet laden. In Berichten vervallen de meeste bijlages/linkjes en FaceTime weigert oproepen van personen met wie je 30 dagen of meer niet hebt gebeld. Pegasus-infecties via PWNYOURHOME waren niet mogelijk bij apparaten met de isolatiemodus ingeschakeld, en in maart 2026 bleek dat de Coruna-spyware een aanval afbreekt wanneer deze modus actief is.21, 22, 34

  • Koop een nieuwe iPhone

    Als je denkt dat je verhoogd risico loopt, koop dan een iPhone 17, iPhone Air of nieuwer model met Memory Integrity Enforcement (MIE). De A19-chip daarin beschermt tegen geheugenmisbruik waarop geavanceerde spyware zoals Pegasus vaak steunt. Pas bij de eerste ingebruikname direct alle bovenstaande aanbevelingen toe om de kans op succes van nieuwe exploitpogingen te verlagen: een aanvaller kan identiteit, telefoonnummer, account of toestelidentificatie correleren en opnieuw aanvallen. Zie ook Wat instellingen niet voor je regelen.23

  • Ontwikkelaarsmodus (bewust niet aanbevolen)

    Predator breekt een aanval af als de ontwikkelaarsmodus aanstaat. Toch raden we het niet aan. De spyware meldt de reden van het afbreken aan de operator, die dan weet dat het doelwit maatregelen neemt en een andere route kan kiezen. Het effect is alleen aangetoond bij Predator, de optie verschijnt pas na verbinding met Xcode, en Jamf adviseert de modus alleen in te schakelen als er tegelijk actieve beveiligingsmonitoring draait. Gebruik bij verhoogd risico de isolatiemodus.24, 25

Wat instellingen niet voor je regelen

  • Bescherm je omgeving

    NSO-trainingsmateriaal beschrijft “close-circle infection” voor doelwitten die beveiligingsbewust zijn. Dan worden collega’s, vrienden of familie aangevallen om indirect informatie te verzamelen. Het advies: wie verhoogd risico loopt, zorgt dat ook zijn directe omgeving deze maatregelen toepast.14

  • Controleer gekoppelde apparaten in Signal en WhatsApp

    Ga naar Signal → Instellingen → Gekoppelde apparaten en naar WhatsApp → Instellingen → Gekoppelde apparaten, en verwijder elk apparaat dat je niet herkent. Russische actoren verspreidden QR-codes vermomd als groepsuitnodiging of beveiligingswaarschuwing. Wie zo’n code scant, koppelt zijn account onbewust aan een apparaat van de aanvaller, die daarna alle berichten meeleest. Zo’n koppeling kan lang onopgemerkt blijven.26

  • Open geen links van onbekende afzenders

    Niet elke aanval is zero-click. Een advocaat in Pakistan ontving in WhatsApp van een onbekend nummer een link, die naar Predator-infrastructuur leidde.5

  • Deel nooit een verificatiecode, ook niet met “Apple Support”

    In 2024 verstuurden aanvallers Apple-gebruikers wachtwoordherstel-verzoeken. Daarna belden ze met een vals nummer namens Apple Support om een eenmalige code te ontfutselen waarmee ze het account overnamen. Een maatregel daartegen is Instellingen → [je naam] → Inloggen en beveiliging → Twee-factor-authenticatie → Beveiligingssleutels → Stel in. Met fysieke FIDO-sleutels is een doorgespeelde code waardeloos. Registreer er twee.27

  • Behandel elk toestel dat buiten je controle is geweest als mogelijk gecompromitteerd

    Zet je telefoon uit als je die gedwongen moet afgeven. Reset je telefoon na terugkomst via Instellingen → Algemeen → Zet over of stel iPhone opnieuw in → Wis alle inhoud en instellingen. In Servië werden telefoons met spyware besmet terwijl ze bij de politie in een kluisje lagen. Het ging daar om Android, maar dat fysieke toegang ook bij iPhones een reële route is, laat CVE-2025-24200 zien: een misbruikte omzeiling van de USB-beveiliging. Controleer daarom of Instellingen → Privacy en beveiliging → Bedrade accessoires → Vraag altijd.28

  • Neem een dreigingsmelding van Apple serieus

    Apple stuurt deze meldingen als het geavanceerde spyware-aanvallen richting je toestel waarneemt. Alleen al in augustus 2026 werden gebruikers in 110 landen geïnformeerd. Controleer zo’n melding door zelf naar account.apple.com te gaan en in te loggen; een echte melding staat bovenaan de pagina. Klik nooit op links in de melding. Schakel daarna de isolatiemodus in en roep deskundige hulp in, bijvoorbeeld de Digital Security Helpline van Access Now.29

  • Na een (vermoedelijke) infectie is een schoon toestel niet genoeg

    Een Pegasus-operator heeft een tab met wachtwoorden en authenticatietokens van het toestel. Zo kan men toegang houden tot je online accounts, ook als je telefoon niet meer besmet is. Vervang of reset na een dreigingsmelding of vermoeden niet alleen je toestel, maar wijzig alle wachtwoorden en beëindig actieve sessies vanaf een vertrouwd, schoon apparaat.14

  • Laat je telefoon buiten de ruimte bij gevoelige gesprekken

    Vertrouw niet op die groene en oranje stipjes. Predator kan deze indicatoren uitschakelen. Dat de microfoon gericht wordt ingezet voor het opvangen van vergaderingen, blijkt uit NSO-documenten. Opnames met de microfoon kunnen vooraf worden ingepland en automatisch starten wanneer bekend is dat het doelwit een belangrijke agenda-afspraak heeft. De stipjes worden op de iPhone 16 en nieuwer buiten de iOS-kernel aangestuurd, waardoor ook spyware met volledige kernel-toegang ze niet moet kunnen onderdrukken. Apple heeft dit niet bevestigd, dus je telefoon buiten laten is altijd beter.30, 31

  • Kanttekening bij blocklists

    Lijsten met bekende spyware-servers (C2-domeinen) hebben preventief beperkt nut. NSO laat een eigen team, White Services, anonieme infrastructuur inkopen, deels betaald met cryptovaluta. Elke klant krijgt aparte infrastructuur en accounts. Amnesty heeft in honderden zaken nooit een aanvalsaccount of infectiedomein gezien dat door meer dan één klant werd gebruikt. Ook Intellexa is na publiciteit over Predator zijn infrastructuur zo gaan inrichten dat detectie moeilijker wordt. Een publieke lijst met C2-domeinen beschermt dus niet tegen nieuwe aanvallen. DNS-filtering via VPN-apps helpt tegen advertentienetwerken, niet tegen spyware-C2. Achteraf zijn die domeinen beperkt waardevol. Forensische tools zoals MVT herkennen er infecties mee, maar zullen door de unieke infrastructuur per klant niet tot ‘positieve’ detectie leiden.32, 14

Noten

  1. U.S. News & World Report. “Researchers Uncover iPhone Spyware Capable of Penetrating Millions of Devices.” 18 maart 2026. ↩
  2. TechCrunch. “WhatsApp fixes ‘zero-click’ bug used to hack Apple users with spyware.” 29 augustus 2025. ↩
  3. Apple. “About Background Security Improvements for iOS, iPadOS, and macOS.” 14 september 2026. ↩
  4. Cisco Talos. “Malicious MDM: Let’s Hide This App.” 5 september 2018. ↩
  5. The Hacker News. “Intellexa Leaks Reveal Zero-Days and Ads-Based Vector for Predator Spyware Delivery.” 5 december 2025. ↩
  6. Citizen Lab. “The Not-So-Silent Type: Vulnerabilities Across Keyboard Apps Reveal Keystrokes to Network Eavesdroppers.” 23 april 2024. ↩
  7. Apple Developer. “Changes for apps in the European Union.” 18 augustus 2026. ↩
  8. Dark Reading. “Operation Behind Predator Mobile Spyware Is ‘Industrial Scale’.” 9 oktober 2023. ↩
  9. Apple. “Recommended settings for Wi-Fi routers and access points.” 3 juni 2026. ↩
  10. Wikipedia. “Operation Triangulation.” Geraadpleegd 28 oktober 2026. ↩
  11. Electronic Frontier Foundation. “The UK Is Still Trying to Backdoor Encryption for Apple Users.” 1 oktober 2025. ↩
  12. Ebrahim e.a. “Protocol Prying: Systematic Vulnerability Research in the AirDrop and Android Quick Share Proximity Transfer Protocols.” USENIX WOOT ’26. 10–11 augustus 2026. ↩
  13. Kaspersky. “Kaspersky ontdekt nieuwe crypto-stelende Trojan in AppStore en Google Play.” 5 februari 2025. ↩
  14. Amnesty International Security Lab. “Inside Pegasus: The evolution of the world’s most notorious spyware system.” 16 juli 2026. ↩
  15. Axios. “Hackers are turning web browsing into an iPhone trap.” 22 oktober 2026. ↩
  16. Citizen Lab. “Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware.” 15 oktober 2026. ↩
  17. NIST National Vulnerability Database. CVE-2026-86919: “An attacker with a paired Bluetooth device may be able to execute arbitrary code.” 20 oktober 2026. ↩
  18. Google Project Zero. “An iOS zero-click radio proximity exploit odyssey.” December 2020. ↩
  19. Citizen Lab. “Pegasus Spyware Infection of Serbian Pro-Democracy Student Activist.” 2 september 2026. ↩
  20. Citizen Lab. “Pegasus vs. Predator: Dissident’s Doubly-Infected iPhone Reveals Cytrox Mercenary Spyware.” 16 december 2021. ↩
  21. Citizen Lab. “Triple Threat: NSO Group’s Pegasus Spyware Returns in 2022 with a Trio of iOS 15 and iOS 16 Zero-Click Exploit Chains.” 18 april 2023. ↩
  22. Google Cloud Threat Intelligence. “Coruna: The Mysterious Journey of a Powerful iOS Exploit Kit.” 3 maart 2026. ↩
  23. Apple Security Research. “Memory Integrity Enforcement: A complete vision for memory safety in Apple devices.” 9 september 2025. ↩
  24. Jamf. “Predator iOS Spyware: Undocumented Anti-Analysis Techniques.” 14 januari 2026. ↩
  25. Jamf. “Developer Mode as a mobile security defense.” 16 maart 2026. ↩
  26. Google Cloud Threat Intelligence. “Signals of Trouble: Multiple Russia-Aligned Threat Actors Actively Targeting Signal Messenger.” 19 februari 2025. ↩
  27. Krebs on Security. “Recent ‘MFA Bombing’ Attacks Targeting Apple Users.” 26 maart 2024. ↩
  28. Amnesty International Security Lab. “‘A Digital Prison’: Surveillance and the suppression of civil society in Serbia.” 16 december 2024. ↩
  29. Apple. “About Apple threat notifications and protecting against mercenary spyware.” 13 augustus 2026. ↩
  30. Jamf. “How Predator Spyware Defeats iOS Recording Indicators.” 19 februari 2026. ↩
  31. CyberInsider. “Predator spyware uses stealthy trick to disable iOS recording alerts.” 20 februari 2026. ↩
  32. Recorded Future, Insikt Group. “Intellexa’s Global Corporate Web.” 3 december 2025. ↩
  33. Confiant. “ADINT: Weaponized Ad Tech for Zero-Click Spyware and Mass Identity Vacuuming.” ↩
  34. Apple. “About Lockdown Mode.” 14 september 2026. ↩

Lees meer over onze briefings.

Verder lezen

Geschreven door · Gepubliceerd , herzien