Bei Unternehmen lag die Quote mit 0,7 Infektionen pro 1.000 Scans niedriger. iVerify führt den Unterschied darauf zurück, dass Unternehmen das Einspielen von Patches vorschreiben und Erkennung auf dem Gerät sowie Netzwerk-Sicherheitskontrollen einsetzen. Wie viele Verbrauchergeräte genau geprüft wurden, wollte Mitgründer Rocky Cole nicht sagen; es seien aber Hunderttausende gewesen. Ein durchschnittliches Fortune-500-Unternehmen verzeichne pro Jahr etwa 65 Infektionen auf seinen Geräten. Auffällig ist, dass viele der betroffenen Beschäftigten gewöhnliche Mitarbeiter waren und keine Top-Manager.
„Die Erkenntnis ist, dass dies das Jahr ist, in dem iOS-Spyware im Mainstream angekommen und zum Problem aller geworden ist“, sagte Cole. „Der wichtigste Akteur, der heute Spyware gegen iPhones einsetzt, sind nicht Regierungen, sondern schlicht Cyberkriminelle, und das Problem trifft wahllos jeden.“ Viele der entdeckten Infektionen dienten dem Diebstahl von Zugangsdaten und Kryptowährung, nicht den politisch motivierten Zwecken, die man von kommerzieller Spyware kennt.
Laut iVerify nutzen die Täter geleakte iOS-Exploit-Toolkits, um „in großem Maßstab zu arbeiten, Angriffe über Online-Werbung auszuliefern, normale Angestellte zu erreichen und ihre Spuren zu verwischen, bevor Verteidiger reagieren können“. Etwa 75 Prozent der Funde betrafen Coruna oder DarkSword, die übrigen 25 Prozent Söldner-Spyware wie Pegasus.
DarkSword ist ein fortgeschrittenes, JavaScript-basiertes Full-Chain-Exploit-Kit und Spyware-Framework für iOS, das im März öffentlich bekannt wurde. Es wird als Watering-Hole-Angriff eingesetzt: Ein Klick auf einen Link ist nicht nötig, der bloße Besuch einer kompromittierten Website im Browser kann die Infektion auslösen.
Auch Coruna wird über das Web verbreitet; beim Besuch präparierter Seiten werden Schwachstellen in WebKit und im Kernel ausgenutzt. Das Framework stammt aus dem Bestand eines Rüstungsunternehmens und wurde von Kriminellen genutzt, um über gefälschte chinesischsprachige Finanzwebsites Kryptowährung von mehr als 42.000 iOS-Geräten zu stehlen. Die Google Threat Intelligence Group entdeckte Coruna erstmals im Februar 2025; im Laufe des vergangenen Jahres verbreitete es sich allmählich. Das Kit wird direkt mit Peter Williams in Verbindung gebracht, einem früheren Manager von L3Harris Trenchant, der gestand, Exploits gestohlen und gegen Kryptozahlungen auf dem Schwarzmarkt verkauft zu haben. Er wurde im Februar 2026 zu sieben Jahren Haft verurteilt. Nach Einschätzung von iVerify sind Coruna und DarkSword Teil eines „breiteren Trends, bei dem mobile Exploit-Frameworks von seltenen, streng begrenzten Geheimdienstoperationen in eine breitere Zirkulation übergegangen sind“.
Besitzer der mit DarkSword und Coruna infizierten Geräte erhielten keine Bedrohungsbenachrichtigungen von Apple. Beide Frameworks ermöglichen dieselbe Kontrolle über ein Telefon wie kommerzielle Zero-Click-Spyware à la Pegasus: Sie können Nachrichten, Fotos und E-Mails offenlegen sowie Mikrofon und Kamera einschalten. Der Unterschied: Pegasus und vergleichbare Produkte werden ausschließlich an staatliche Kunden verkauft, Coruna und DarkSword sind dagegen einem breiten Kreis zugänglich.
„Einer von 900 ist eine Schleppnetz-Zahl, keine Zahl für gezielte Angriffe“, sagte Nic Adams, Mitgründer und CEO des Unternehmens 0rcus, zur ermittelten Infektionsrate. „Söldner-Spyware wurde als Skalpell gebaut – jetzt wird sie als Netz verwendet.“
Auch Android steht laut dem Bericht vor einer ähnlichen Entwicklung, da ein großes Angebot an günstigen, schlüsselfertigen Spyware-Kits es Angreifern leicht macht, Telefone aus der Ferne zu übernehmen. „Das Hauptziel dieser Angriffe ist nicht, geistiges Eigentum zu stehlen oder sich Vorteile in Handelsverhandlungen zu verschaffen – es ist schlicht Cyberkriminalität. Jeder einzelne Mitarbeiter und jeder einzelne Mensch ist potenziell gefährdet“, sagte Cole.
Die Forscher hatten nach Coles Angaben eigentlich mit einem Rückgang der Infektionsrate gerechnet, weil sich die Zahl gewöhnlicher Verbraucher, die die kostenlosen Prüfungen nutzen, vervierfacht hat. Vor zwei Jahren ließen vor allem Angehörige von Eliten ihre Geräte prüfen, die Gründe hatten, Spyware zu vermuten. Ein iVerify-Bericht vom Dezember 2024 fand Pegasus-Infektionen auf 2,5 von 1.000 gescannten Geräten; Coruna und DarkSword waren damals noch nicht im Umlauf, und staatlich gesteuerte Angriffe mit kommerzieller Spyware galten als mit Abstand größte Bedrohung.
„Unternehmen müssen ihre Bedrohungsmodelle anpassen, sich nicht mehr auf VIPs konzentrieren und davon ausgehen, dass dies ein Problem ist, das jeder in der Organisation angehen muss“, sagte Cole.