חוקרי חברת האבטחה Sekoia חשפו מתקפת "בור מים" רחבה, שבה אתרים פרוצים ואתרים שהתחזו לאתרים לגיטימיים שימשו לתקיפת משתמשי iOS ואנדרואיד. לפי BleepingComputer, קוד JavaScript באתרים זיהה את המכשיר ואת גרסת הדפדפן של הגולש, ושרת השליטה שלח שרשרת ניצול מתאימה של חולשות ידועות (n-day), בלי שום פעולה מצד המשתמש. המטרה הייתה לשלוף עוגיות, מאגרי אפליקציות מסרים ופרטי התחברות.
בין האתרים הפרוצים היו אתר של חברת גז אוקראינית, איגוד אמריקאי של תעשיית הכימיקלים ואתר בולגרי הקשור לצבא, וכן דומיינים שהתחזו לאתר America250 ולמלון Raffles בלונדון. התוקפים גם פרצו לשירות האנליטיקה האוקראיני Plerdy ושינו קוד מעקב שנטען באלפי אתרים, בעיקר באוקראינה, בין 27 באוגוסט ל-3 בספטמבר. Sekoia מייחסת את המבצע, ברמת ביטחון בינונית עד גבוהה, לקבוצה הרוסית APT29 (Midnight Blizzard).
מה לעשות: לפי Sekoia, הנוזקות לא נשארו במכשיר אחרי הפעלה מחדש. אפל וגוגל תיקנו את כל החולשות שנוצלו, והתיקונים הגיעו גם לגרסאות iOS ישנות, ולכן ההמלצה היא להתקין את עדכוני האבטחה האחרונים בטלפון.