האקרים המקושרים לרוסיה הופכים את ההתחברות לגוגל ולוואטסאפ למלכודת דיוג
ב־20 באוגוסט 2026 דיווחה קבוצת מודיעין האיומים של Google על UNC6293, UNC7005 ו־UNC5976, שתקפו גורמים באקדמיה, בתעשיות התעופה והביטחון, בממשל ובמכוני מחקר באירופה ובארצות הברית. הקבוצות הסתמכו על הנדסה חברתית ולא בעיקר על פריצת סיסמאות או ניצול חולשות תוכנה: UNC6293 ביקשה סיסמאות ייעודיות לאפליקציות והרשאות OAuth, ...
פורסם על ידינערך באמצעות GPT-5.6 Lunaהתמונות נוצרו באמצעות GPT Image 1.5
ב־20 באוגוסט 2026 דיווחה קבוצת מודיעין האיומים של Google על UNC6293, UNC7005 ו־UNC5976, שתקפו גורמים באקדמיה, בתעשיות התעופה והביטחון, בממשל ובמכוני מחקר באירופה ובארצות הברית.
הקבוצות הסתמכו על הנדסה חברתית ולא בעיקר על פריצת סיסמאות או ניצול חולשות תוכנה: UNC6293 ביקשה סיסמאות ייעודיות לאפליקציות והרשאות OAuth, UNC7005 ניצלה קישור מכשירים בוואטסאפ ועמודי התחברות מזויפים, ו־UNC5976 התמקדה...
ההגנה המרכזית היא לאשר כל בקשת התחברות, הרשאת OAuth או קישור מכשיר רק לאחר אימות עצמאי; ארגונים צריכים להעדיף אימות רב־שלבי עמיד בפני דיוג ולהגביל שימוש באפליקציות OAuth מסוכנות ובסיסמאות ייעודיות.
What did Google’s Threat Intelligence Group report on August 20, 2026, about three suspected Russian cyber-espionage clusters—UNC6293, UNC70The reported campaigns abused familiar authentication and device-linking workflows to persuade targets to grant access.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Google’s Threat Intelligence Group report on August 20, 2026, about three suspected Russian cyber-espionage clusters—UNC6293, UNC70. Article summary: Google’s Threat Intelligence Group (GTIG) reported that UNC6293, UNC7005 (also tracked by Microsoft as STORM-2945), and UNC5976 were conducting targeted, suspected Russian cyber-espionage campaigns against people in acad. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
openai.com
ב־20 באוגוסט 2026 דיווחה קבוצת מודיעין האיומים של Google (GTIG) כי שלוש קבוצות ריגול־סייבר חשודות, המזוהות עם פעילות רוסית, מכוונות לאנשים הקשורים לאקדמיה, לתעשיות התעופה והביטחון, לממשלות ולמכוני מחקר באירופה ובארצות הברית. ייחודן של המתקפות: הן מנצלות תהליכי אימות וקישור מכשירים לגיטימיים, ומשכנעות את הקורבנות להעניק גישה בעצמם — במקום להסתמך בעיקר על ניחוש סיסמאות או על חולשות בתוכנה.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "האקרים המקושרים לרוסיה הופכים את ההתחברות לגוגל ולוואטסאפ למלכודת דיוג"?
ב־20 באוגוסט 2026 דיווחה קבוצת מודיעין האיומים של Google על UNC6293, UNC7005 ו־UNC5976, שתקפו גורמים באקדמיה, בתעשיות התעופה והביטחון, בממשל ובמכוני מחקר באירופה ובארצות הברית.
What are the key points to validate first?
ב־20 באוגוסט 2026 דיווחה קבוצת מודיעין האיומים של Google על UNC6293, UNC7005 ו־UNC5976, שתקפו גורמים באקדמיה, בתעשיות התעופה והביטחון, בממשל ובמכוני מחקר באירופה ובארצות הברית. הקבוצות הסתמכו על הנדסה חברתית ולא בעיקר על פריצת סיסמאות או ניצול חולשות תוכנה: UNC6293 ביקשה סיסמאות ייעודיות לאפליקציות והרשאות OAuth, UNC7005 ניצלה קישור מכשירים בוואטסאפ ועמודי התחברות מזויפים, ו־UNC5976 התמקדה...
What should I do next in practice?
ההגנה המרכזית היא לאשר כל בקשת התחברות, הרשאת OAuth או קישור מכשיר רק לאחר אימות עצמאי; ארגונים צריכים להעדיף אימות רב־שלבי עמיד בפני דיוג ולהגביל שימוש באפליקציות OAuth מסוכנות ובסיסמאות ייעודיות.
האקרים המקושרים לרוסיה הופכים את ההתחברות לגוגל ולוואטסאפ למלכודת דיוג
ב־20 באוגוסט 2026 דיווחה קבוצת מודיעין האיומים של Google על UNC6293, UNC7005 ו־UNC5976, שתקפו גורמים באקדמיה, בתעשיות התעופה והביטחון, בממשל ובמכוני מחקר באירופה ובארצות הברית. הקבוצות הסתמכו על הנדסה חברתית ולא בעיקר על פריצת סיסמאות או ניצול חולשות תוכנה: UNC6293 ביקשה סיסמאות ייעודיות לאפליקציות והרשאות OAuth, ...
פורסם על ידינערך באמצעות GPT-5.6 Lunaהתמונות נוצרו באמצעות GPT Image 1.5
ב־20 באוגוסט 2026 דיווחה קבוצת מודיעין האיומים של Google על UNC6293, UNC7005 ו־UNC5976, שתקפו גורמים באקדמיה, בתעשיות התעופה והביטחון, בממשל ובמכוני מחקר באירופה ובארצות הברית.
הקבוצות הסתמכו על הנדסה חברתית ולא בעיקר על פריצת סיסמאות או ניצול חולשות תוכנה: UNC6293 ביקשה סיסמאות ייעודיות לאפליקציות והרשאות OAuth, UNC7005 ניצלה קישור מכשירים בוואטסאפ ועמודי התחברות מזויפים, ו־UNC5976 התמקדה...
ההגנה המרכזית היא לאשר כל בקשת התחברות, הרשאת OAuth או קישור מכשיר רק לאחר אימות עצמאי; ארגונים צריכים להעדיף אימות רב־שלבי עמיד בפני דיוג ולהגביל שימוש באפליקציות OAuth מסוכנות ובסיסמאות ייעודיות.
What did Google’s Threat Intelligence Group report on August 20, 2026, about three suspected Russian cyber-espionage clusters—UNC6293, UNC70The reported campaigns abused familiar authentication and device-linking workflows to persuade targets to grant access.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Google’s Threat Intelligence Group report on August 20, 2026, about three suspected Russian cyber-espionage clusters—UNC6293, UNC70. Article summary: Google’s Threat Intelligence Group (GTIG) reported that UNC6293, UNC7005 (also tracked by Microsoft as STORM-2945), and UNC5976 were conducting targeted, suspected Russian cyber-espionage campaigns against people in acad. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
openai.com
ב־20 באוגוסט 2026 דיווחה קבוצת מודיעין האיומים של Google (GTIG) כי שלוש קבוצות ריגול־סייבר חשודות, המזוהות עם פעילות רוסית, מכוונות לאנשים הקשורים לאקדמיה, לתעשיות התעופה והביטחון, לממשלות ולמכוני מחקר באירופה ובארצות הברית. ייחודן של המתקפות: הן מנצלות תהליכי אימות וקישור מכשירים לגיטימיים, ומשכנעות את הקורבנות להעניק גישה בעצמם — במקום להסתמך בעיקר על ניחוש סיסמאות או על חולשות בתוכנה.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "האקרים המקושרים לרוסיה הופכים את ההתחברות לגוגל ולוואטסאפ למלכודת דיוג"?
ב־20 באוגוסט 2026 דיווחה קבוצת מודיעין האיומים של Google על UNC6293, UNC7005 ו־UNC5976, שתקפו גורמים באקדמיה, בתעשיות התעופה והביטחון, בממשל ובמכוני מחקר באירופה ובארצות הברית.
What are the key points to validate first?
ב־20 באוגוסט 2026 דיווחה קבוצת מודיעין האיומים של Google על UNC6293, UNC7005 ו־UNC5976, שתקפו גורמים באקדמיה, בתעשיות התעופה והביטחון, בממשל ובמכוני מחקר באירופה ובארצות הברית. הקבוצות הסתמכו על הנדסה חברתית ולא בעיקר על פריצת סיסמאות או ניצול חולשות תוכנה: UNC6293 ביקשה סיסמאות ייעודיות לאפליקציות והרשאות OAuth, UNC7005 ניצלה קישור מכשירים בוואטסאפ ועמודי התחברות מזויפים, ו־UNC5976 התמקדה...
What should I do next in practice?
ההגנה המרכזית היא לאשר כל בקשת התחברות, הרשאת OAuth או קישור מכשיר רק לאחר אימות עצמאי; ארגונים צריכים להעדיף אימות רב־שלבי עמיד בפני דיוג ולהגביל שימוש באפליקציות OAuth מסוכנות ובסיסמאות ייעודיות.
הקמפיינים התבססו על הנדסה חברתית ממושכת וממוקדת. התוקפים התחזו לבעלי תפקידים או לאנשי קשר מוכרים, יצרו הזמנות ושיחות שנראו אמינות, ולאחר מכן הובילו את הקורבנות להשתמש בפיצ'רים אמיתיים של אבטחת חשבון.
בין היתר נעשה שימוש בהרשאות Google OAuth, בסיסמאות ייעודיות לאפליקציות ובתהליך קישור מכשירים בוואטסאפ.
כך ניתן לעקוף חלק מההגנה שמשתמשים נוטים לייחס לאימות רב־שלבי. הקורבן לא בהכרח מוסר את הסיסמה שלו; הוא עשוי לאשר אפליקציית OAuth, ליצור סיסמה ייעודית לאפליקציה או לקשר מכשיר חדש. בכל אחד מהמקרים האלה, פעולה שנראית לגיטימית יכולה לפתוח לתוקף נתיב גישה לחשבון.
מה עשתה כל אחת מהקבוצות?
UNC6293: התחזות, סיסמאות ייעודיות ו־OAuth
לפי GTIG, UNC6293 התחזתה לפקידים במשרד החוץ האמריקאי ולאנשי קשר מהימנים אחרים. הפניות נועדו לשכנע את היעדים ליצור ולמסור סיסמאות ייעודיות לאפליקציות — סיסמאות שעלולות לאפשר גישה לחשבון גם בלי בקשת האימות הדו־שלבי הרגילה.
GTIG תיארה גם דיוג של הסכמה ל־OAuth, שבו התוקפים מנסים להשיג אסימוני גישה בהרשאה מהמשתמש, במקום לגנוב ממנו ישירות את הסיסמה.
ב־GTIG העריכו ברמת ביטחון בינונית כי UNC6293 היא תת־קבוצה המתמקדת בגישה ראשונית, השייכת ל־ICE RELIC — השם של Google לשחקן שנודע בעבר כ־APT29.
UNC7005, המוכרת גם כ־STORM-2945: וואטסאפ ופיתיונות מדורגים
UNC7005 השתמשה במגוון מתרחב של שיטות, ובהן:
הונאות קישור מכשירים בוואטסאפ: הקורבנות שוכנעו לקשר לחשבון שלהם מכשיר שנשלט בידי התוקפים.
שיחות קוליות מזויפות והזמנות לצ'אטים מוצפנים: האינטראקציות נועדו לבנות אמון לפני שליחת קישור או קוד זדוני.
התחזות לתקשורת ארגונית: הודעות שנקשרו למרכז המבצעים הפיני שימשו לצד אתרי התחברות מזויפים של Microsoft.
גניבת אסימוני OAuth והפצת נוזקות: הקבוצה השתמשה בזרימות OAuth של Google כדי להשיג אסימונים או גישה לחשבונות, ובמקביל הפיצה נוזקות גניבת מידע כמו VIDAR ו־ATOMIC.
הטכניקות והתשתיות של UNC7005 שונות מאלה של UNC6293. לכן GTIG עוקבת אחריהן כפעילויות נפרדות, אף שהמטרות וההסתמכות על תהליכי אימות לגיטימיים חופפות.
UNC5976: דיוג OAuth נגד יעדים ביטחוניים
לפי הדיווח, UNC5976 התמקדה באנשי צבא, תעופה וביטחון ובארגונים הקשורים לתחומים אלה, כולל יעדים הקשורים לאוקראינה ולארמניה. פעילות הדיוג שלה נועדה לגרום לקורבנות לאשר הרשאות OAuth, כדי לאפשר גישה לחשבונות או למידע שלהם.
מה אמרה Google על הקשר לרוסיה?
GTIG העריכה ברמת ביטחון גבוהה שלפעילות כולה יש זיקה רוסית. מדובר בהערכת ייחוס מודיעינית, ולא בטענה שכל פרט מבצעי או כל קשר בין הקבוצות הוכח באותה רמת ודאות.
בדיווחים קיימים גם תיאורים של קשרים אפשריים בין חלק מהפעילות לבין ICE RELIC/APT29. הקישור של UNC6293 ל־ICE RELIC הוערך ברמת ביטחון בינונית, והקבוצות ממשיכות להיספר בנפרד משום שהטכניקות והתשתיות שלהן אינן זהות.
מדוע אימות רב־שלבי לבדו אינו מספיק?
אימות רב־שלבי עדיין עלול להיכשל אם התוקף מצליח לשכנע את המשתמש לאשר את הפעולה הלא נכונה. מסך הרשאת OAuth בלתי צפוי, בקשה ליצור סיסמה ייעודית לאפליקציה או קוד לקישור מכשיר עשויים להיות סימנים להשתלטות על החשבון — גם אם איש לא גנב את הסיסמה.
המסקנה המעשית היא להתייחס לבקשות אימות כמו אל פעולות בעלות משמעות: לאשר אותן רק לאחר בדיקה, ולא להניח שהן בטוחות רק מפני שהן מופיעות בתוך שירות מוכר.
ההגנות שממליצה Google
ההמלצות של GTIG מתמקדות בהאטת התהליך שהתוקפים מנסים לזרז:
בדקו את כתובת הדפדפן המלאה לפני התחברות או אישור הרשאת OAuth.
אמתו הזמנות ובקשות בערוץ נפרד: בדקו באופן עצמאי הזמנות לכנסים, שיחות, פניות בצ'אטים מוצפנים והודעות שמתיימרות להגיע מגורמי ממשל או מארגונים. השתמשו בפרטי קשר מוכרים, ולא באלה שמופיעים בהודעה החשודה.
לעולם אל תמסרו סיסמה ייעודית לאפליקציה, קוד אימות חד־פעמי, קוד QR או קוד לקישור מכשיר. אל תאשרו התחברות או הרשאת OAuth שלא יזמתם.
בדקו באופן קבוע את המכשירים המקושרים בוואטסאפ ובאפליקציות מסרים אחרות, והסירו מכשירים שאינכם מזהים.
העדיפו אימות רב־שלבי עמיד בפני דיוג: ארגונים צריכים להעדיף מפתחות אבטחה או מפתחות גישה (passkeys), ולהגביל ככל האפשר אפליקציות OAuth מסוכנות ושימוש בסיסמאות ייעודיות לאפליקציות.
עבור אנשים שעובדים בתחומים רגישים, השיעור החשוב פשוט: מותג מוכר, דף התחברות אמיתי או תכונת אימות לגיטימית אינם מוכיחים שהבקשה אכן אמינה. יש לאמת גם את הבקשה עצמה — ואת האדם או הארגון שיזם אותה.
bitdefender.comRussian-linked hackers turn Google and WhatsApp logins into phishing traps
הקמפיינים התבססו על הנדסה חברתית ממושכת וממוקדת. התוקפים התחזו לבעלי תפקידים או לאנשי קשר מוכרים, יצרו הזמנות ושיחות שנראו אמינות, ולאחר מכן הובילו את הקורבנות להשתמש בפיצ'רים אמיתיים של אבטחת חשבון.
בין היתר נעשה שימוש בהרשאות Google OAuth, בסיסמאות ייעודיות לאפליקציות ובתהליך קישור מכשירים בוואטסאפ.
כך ניתן לעקוף חלק מההגנה שמשתמשים נוטים לייחס לאימות רב־שלבי. הקורבן לא בהכרח מוסר את הסיסמה שלו; הוא עשוי לאשר אפליקציית OAuth, ליצור סיסמה ייעודית לאפליקציה או לקשר מכשיר חדש. בכל אחד מהמקרים האלה, פעולה שנראית לגיטימית יכולה לפתוח לתוקף נתיב גישה לחשבון.
מה עשתה כל אחת מהקבוצות?
UNC6293: התחזות, סיסמאות ייעודיות ו־OAuth
לפי GTIG, UNC6293 התחזתה לפקידים במשרד החוץ האמריקאי ולאנשי קשר מהימנים אחרים. הפניות נועדו לשכנע את היעדים ליצור ולמסור סיסמאות ייעודיות לאפליקציות — סיסמאות שעלולות לאפשר גישה לחשבון גם בלי בקשת האימות הדו־שלבי הרגילה.
GTIG תיארה גם דיוג של הסכמה ל־OAuth, שבו התוקפים מנסים להשיג אסימוני גישה בהרשאה מהמשתמש, במקום לגנוב ממנו ישירות את הסיסמה.
ב־GTIG העריכו ברמת ביטחון בינונית כי UNC6293 היא תת־קבוצה המתמקדת בגישה ראשונית, השייכת ל־ICE RELIC — השם של Google לשחקן שנודע בעבר כ־APT29.
UNC7005, המוכרת גם כ־STORM-2945: וואטסאפ ופיתיונות מדורגים
UNC7005 השתמשה במגוון מתרחב של שיטות, ובהן:
הונאות קישור מכשירים בוואטסאפ: הקורבנות שוכנעו לקשר לחשבון שלהם מכשיר שנשלט בידי התוקפים.
שיחות קוליות מזויפות והזמנות לצ'אטים מוצפנים: האינטראקציות נועדו לבנות אמון לפני שליחת קישור או קוד זדוני.
התחזות לתקשורת ארגונית: הודעות שנקשרו למרכז המבצעים הפיני שימשו לצד אתרי התחברות מזויפים של Microsoft.
גניבת אסימוני OAuth והפצת נוזקות: הקבוצה השתמשה בזרימות OAuth של Google כדי להשיג אסימונים או גישה לחשבונות, ובמקביל הפיצה נוזקות גניבת מידע כמו VIDAR ו־ATOMIC.
הטכניקות והתשתיות של UNC7005 שונות מאלה של UNC6293. לכן GTIG עוקבת אחריהן כפעילויות נפרדות, אף שהמטרות וההסתמכות על תהליכי אימות לגיטימיים חופפות.
UNC5976: דיוג OAuth נגד יעדים ביטחוניים
לפי הדיווח, UNC5976 התמקדה באנשי צבא, תעופה וביטחון ובארגונים הקשורים לתחומים אלה, כולל יעדים הקשורים לאוקראינה ולארמניה. פעילות הדיוג שלה נועדה לגרום לקורבנות לאשר הרשאות OAuth, כדי לאפשר גישה לחשבונות או למידע שלהם.
מה אמרה Google על הקשר לרוסיה?
GTIG העריכה ברמת ביטחון גבוהה שלפעילות כולה יש זיקה רוסית. מדובר בהערכת ייחוס מודיעינית, ולא בטענה שכל פרט מבצעי או כל קשר בין הקבוצות הוכח באותה רמת ודאות.
בדיווחים קיימים גם תיאורים של קשרים אפשריים בין חלק מהפעילות לבין ICE RELIC/APT29. הקישור של UNC6293 ל־ICE RELIC הוערך ברמת ביטחון בינונית, והקבוצות ממשיכות להיספר בנפרד משום שהטכניקות והתשתיות שלהן אינן זהות.
מדוע אימות רב־שלבי לבדו אינו מספיק?
אימות רב־שלבי עדיין עלול להיכשל אם התוקף מצליח לשכנע את המשתמש לאשר את הפעולה הלא נכונה. מסך הרשאת OAuth בלתי צפוי, בקשה ליצור סיסמה ייעודית לאפליקציה או קוד לקישור מכשיר עשויים להיות סימנים להשתלטות על החשבון — גם אם איש לא גנב את הסיסמה.
המסקנה המעשית היא להתייחס לבקשות אימות כמו אל פעולות בעלות משמעות: לאשר אותן רק לאחר בדיקה, ולא להניח שהן בטוחות רק מפני שהן מופיעות בתוך שירות מוכר.
ההגנות שממליצה Google
ההמלצות של GTIG מתמקדות בהאטת התהליך שהתוקפים מנסים לזרז:
בדקו את כתובת הדפדפן המלאה לפני התחברות או אישור הרשאת OAuth.
אמתו הזמנות ובקשות בערוץ נפרד: בדקו באופן עצמאי הזמנות לכנסים, שיחות, פניות בצ'אטים מוצפנים והודעות שמתיימרות להגיע מגורמי ממשל או מארגונים. השתמשו בפרטי קשר מוכרים, ולא באלה שמופיעים בהודעה החשודה.
לעולם אל תמסרו סיסמה ייעודית לאפליקציה, קוד אימות חד־פעמי, קוד QR או קוד לקישור מכשיר. אל תאשרו התחברות או הרשאת OAuth שלא יזמתם.
בדקו באופן קבוע את המכשירים המקושרים בוואטסאפ ובאפליקציות מסרים אחרות, והסירו מכשירים שאינכם מזהים.
העדיפו אימות רב־שלבי עמיד בפני דיוג: ארגונים צריכים להעדיף מפתחות אבטחה או מפתחות גישה (passkeys), ולהגביל ככל האפשר אפליקציות OAuth מסוכנות ושימוש בסיסמאות ייעודיות לאפליקציות.
עבור אנשים שעובדים בתחומים רגישים, השיעור החשוב פשוט: מותג מוכר, דף התחברות אמיתי או תכונת אימות לגיטימית אינם מוכיחים שהבקשה אכן אמינה. יש לאמת גם את הבקשה עצמה — ואת האדם או הארגון שיזם אותה.
bitdefender.comRussian-linked hackers turn Google and WhatsApp logins into phishing traps
cloud.google.comDistinct Clusters Target Individuals of Interest to Russia
theregister.comRussian snoops add OAuth abuse to targeted phishing ...
mallory.aiRussian-Linked Clusters Stole Auth Tokens via OAuth and Device ...
securityaffairs.comFake Conferences, OAuth and WhatsApp: Inside Russia's New ...