Хакеру достаточно отправить ссылку через приложение, и получатель даже не должен кликнуть по ней, чтобы атака сработала.