संदिग्ध रूसी हैकर असली लॉगिन फीचर्स के जरिए अकाउंट तक पहुंच बना रहे हैं

Google की Threat Intelligence Group (GTIG) ने 20 अगस्त 2026 को बताया कि तीन संदिग्ध रूसी साइबर-जासूसी क्लस्टर—UNC6293, UNC7005 और UNC5976—यूरोप और अमेरिका में अकादमिक जगत, एयरोस्पेस, रक्षा, सरकारों और थिंक टैंकों से जुड़े लोगों को निशाना बना रहे हैं। इन अभियानों की खासियत यह है कि हमलावर मुख्य रूप से पासवर्ड क्रैकिंग या सॉफ्टवेयर की कमजोरियों पर निर्भर नहीं हैं। वे लोगों को असली अकाउंट-सुरक्षा और डिवाइस-लिंकिंग फीचर्स को ही मंजूरी देने के लिए मनाते हैं।

असली लॉगिन स्क्रीन ही कैसे बन गई फ़िशिंग का जाल

हमलावर भरोसेमंद अधिकारियों या परिचित संपर्कों का रूप धारण करते हैं, विश्वसनीय लगने वाले निमंत्रण भेजते हैं और बातचीत के जरिए लक्ष्य को धीरे-धीरे अपने निर्देशों का पालन करने के लिए तैयार करते हैं। इसके बाद वे Google OAuth अनुमति, ऐप-विशिष्ट पासवर्ड या WhatsApp डिवाइस-लिंकिंग जैसे वैध विकल्पों का इस्तेमाल करवाते हैं।

इस तरीके से मल्टीफैक्टर ऑथेंटिकेशन (MFA) का वह सुरक्षा-लाभ भी कमजोर हो सकता है, जिस पर उपयोगकर्ता भरोसा करते हैं। पीड़ित को हमेशा पासवर्ड देने की जरूरत नहीं पड़ती—वह किसी OAuth ऐप को अनुमति दे सकता है, ऐप पासवर्ड बना सकता है या किसी नए डिवाइस को अकाउंट से जोड़ सकता है। इन कार्रवाइयों से हमलावर को अकाउंट में प्रवेश का वैध दिखने वाला रास्ता मिल सकता है।

तीनों क्लस्टरों ने क्या तरीके अपनाए?

UNC6293: सरकारी अधिकारियों की नकल, ऐप पासवर्ड और OAuth

रिपोर्ट के अनुसार UNC6293 ने अमेरिकी विदेश विभाग के अधिकारियों और अन्य भरोसेमंद संपर्कों का रूप धारण किया। इसका उद्देश्य लक्ष्यों को ऐप-विशिष्ट पासवर्ड बनाने और साझा करने के लिए राजी करना था। ऐसे पासवर्ड सामान्य दूसरे-कारक संकेत के बाहर भी अकाउंट तक पहुंच दे सकते हैं।

GTIG ने OAuth-consent फ़िशिंग का भी उल्लेख किया है। इसमें हमलावर सीधे पासवर्ड चुराने के बजाय अधिकृत टोकन हासिल करने की कोशिश करते हैं।

GTIG ने मध्यम स्तर के भरोसे के साथ आकलन किया कि UNC6293, Google द्वारा पहले APT29 के नाम से पहचाने जाने वाले अभिनेता के लिए इस्तेमाल किए जाने वाले नाम ICE RELIC, का शुरुआती-प्रवेश सब-क्लस्टर हो सकता है।

UNC7005 या STORM-2945: WhatsApp लिंकिंग और कई चरणों वाले झांसे

UNC7005 ने कई बदलती हुई तकनीकों का इस्तेमाल किया, जिनमें शामिल हैं:

• WhatsApp डिवाइस-लिंकिंग घोटाले: पीड़ितों को ऐसा डिवाइस अपने WhatsApp अकाउंट से जोड़ने के लिए उकसाया गया, जिसे हमलावर नियंत्रित कर रहे थे।
• नकली वॉइस कॉल और एन्क्रिप्टेड चैट निमंत्रण: इन संपर्कों के जरिए पहले भरोसा बनाया गया और बाद में दुर्भावनापूर्ण लिंक या कोड भेजा गया।
• संगठन के नाम पर नकली संदेश: फ़िनिश ऑपरेशंस सेंटर से जुड़े दिखने वाले संचार के साथ नकली Microsoft साइन-इन पोर्टल का इस्तेमाल किया गया।
• OAuth और मैलवेयर: Google OAuth प्रवाह के जरिए टोकन या अकाउंट एक्सेस हासिल करने की कोशिश की गई। इसके साथ VIDAR और ATOMIC जैसे जानकारी चुराने वाले मैलवेयर भी तैनात किए गए।

UNC7005 की तकनीक और उसका बुनियादी ढांचा UNC6293 से अलग था। इसी वजह से दोनों के लक्ष्य और वैध ऑथेंटिकेशन फीचर्स पर निर्भरता समान होने के बावजूद GTIG उन्हें अलग-अलग ट्रैक करता है।

UNC5976: रक्षा क्षेत्र पर OAuth फ़िशिंग

रिपोर्ट के अनुसार UNC5976 ने सैन्य, एयरोस्पेस और रक्षा क्षेत्र से जुड़े कर्मचारियों तथा संगठनों पर ध्यान केंद्रित किया। इसमें यूक्रेन और आर्मेनिया से जुड़े लक्ष्य भी शामिल थे। समूह की फ़िशिंग गतिविधियों का उद्देश्य OAuth के जरिए पीड़ितों के अकाउंट या डेटा तक पहुंच की अनुमति हासिल करना था।

रूसी कनेक्शन को लेकर Google का आकलन

GTIG ने उच्च स्तर के भरोसे के साथ आकलन किया कि इन गतिविधियों का रूसी संबंध है। यह एक एट्रिब्यूशन आकलन है—इसका अर्थ यह नहीं है कि हर परिचालन विवरण या सभी क्लस्टरों के बीच संबंध समान स्तर की निश्चितता से साबित हो चुके हैं।

कुछ गतिविधियों के ICE RELIC/APT29 से जुड़े होने के संकेत भी सामने आए हैं। हालांकि, UNC6293 को ICE RELIC से जोड़ने का GTIG का आकलन मध्यम स्तर के भरोसे पर आधारित है। तकनीकों और बुनियादी ढांचे में अंतर के कारण ये क्लस्टर अलग-अलग ट्रैक किए जा रहे हैं।

MFA अकेला पर्याप्त क्यों नहीं है

मल्टीफैक्टर ऑथेंटिकेशन तब भी निष्प्रभावी हो सकता है, जब हमलावर उपयोगकर्ता को गलत कार्रवाई मंजूर करने के लिए मना ले। अचानक दिखने वाली OAuth अनुमति स्क्रीन, ऐप पासवर्ड बनाने का अनुरोध या WhatsApp डिवाइस-लिंकिंग कोड अकाउंट पर कब्जे की कोशिश हो सकती है—भले ही कोई पासवर्ड चोरी न हुआ हो।

इसका व्यावहारिक सबक यह है कि ऑथेंटिकेशन प्रॉम्प्ट को अपने-आप सुरक्षित न मानें। उन्हें किसी संवेदनशील लेन-देन की तरह देखें और मंजूरी देने से पहले जांच करें।

बचाव के लिए Google की सलाह

GTIG के अनुसार, उपयोगकर्ताओं और संगठनों को हमलावरों द्वारा जल्दबाजी में आगे बढ़ाए जा रहे वर्कफ़्लो को रोकना चाहिए:

• साइन-इन या OAuth अनुमति देने से पहले ब्राउज़र का पूरा URL जांचें।
• निमंत्रण और अनुरोध की स्वतंत्र रूप से पुष्टि करें। कॉन्फ्रेंस निमंत्रण, वॉइस कॉल, एन्क्रिप्टेड चैट अनुरोध या सरकार और संस्थाओं से आने का दावा करने वाले संदेशों की पुष्टि किसी ज्ञात संपर्क माध्यम से करें।
• ऐप पासवर्ड, वन-टाइम सत्यापन कोड, QR कोड या डिवाइस-लिंकिंग कोड कभी साझा न करें। अनपेक्षित साइन-इन या OAuth अनुरोध को मंजूरी न दें।
• लिंक किए गए मैसेजिंग डिवाइस नियमित रूप से देखें। WhatsApp और अन्य मैसेजिंग ऐप से अनजान डिवाइस तुरंत हटाएं।
• फ़िशिंग-रोधी MFA अपनाएं। संगठनों को सिक्योरिटी की या पासकी को प्राथमिकता देनी चाहिए और जहां संभव हो, जोखिम वाले OAuth ऐप्स तथा ऐप-विशिष्ट पासवर्ड पर नियंत्रण लगाना चाहिए।

संवेदनशील क्षेत्रों में काम करने वालों के लिए सबसे जरूरी आदत सीधी है: किसी परिचित ब्रांड, असली लॉगिन पेज या वास्तविक ऑथेंटिकेशन फीचर का दिखना यह साबित नहीं करता कि अनुरोध भी वैध है। अनुरोध किसने भेजा और क्यों भेजा—इसकी भी अलग से पुष्टि जरूरी है।