Хакерска група, свързвана с руското външно разузнаване и известна като APT29 или Cozy Bear, е компрометирала сайт, асоцииран с българската армия, и го е използвала за разпространение на зловреден софтуер към телефони. Вместо директна атака срещу военни системи, операцията е разчитала на вече съществуващи доверени сайтове, които са били модифицирани така, че да заразяват определени посетители.

При отваряне на компрометирания сайт невидим код проверявал модела на телефона и версията на браузъра. Ако устройството отговаряло на зададения профил и не било с последните обновления, сайтът се опитвал да инсталира зловреден софтуер без знанието на потребителя. При по-напредналите варианти софтуерът е можел да получи достъп до съобщения, запазени пароли, Wi-Fi пароли, местоположение и снимки. Той не оставал постоянно на устройството, а крадял данните и изчезвал.

Атаките са работели само срещу телефони без актуални обновления, докато на напълно обновени устройства не са сработвали. Затова редовното обновяване остава най-простата защита. Сред другите засегнати цели са украинска газова компания, американска индустриална асоциация, сайт на европейска политическа партия и хиляди украински сайтове, свързани с армията, чрез компрометиран инструмент за статистика.

APT29 е сред най-известните и дълго действащи руски хакерски групи, свързвана с мащабни операции срещу западни правителства и политически партии, включително германски партии, и с атаката срещу SolarWinds през 2020 г. Изследователите определят връзката с групата като вероятна, а не стопроцентово доказана, и признават, че не знаят откъде тя се е сдобила с инструментите за пробив в телефоните – възможно е да са закупени, а не разработени от самите хакери.