Hoe drie vermoedelijk Russische spionageclusters legitieme loginfuncties misbruiken

Google Threat Intelligence Group (GTIG) meldde op 20 augustus 2026 dat drie vermoedelijk Russische cyberspionageclusters mensen viseerden die verbonden zijn aan de academische wereld, luchtvaart en defensie, overheden en denktanks in Europa en de Verenigde Staten. De campagnes vallen op omdat ze legitieme functies voor accountbeveiliging en apparaatkoppeling misbruiken. Slachtoffers worden ertoe gebracht zélf toegang te verlenen, in plaats van dat aanvallers vooral wachtwoorden kraken of softwarekwetsbaarheden uitbuiten.

Een gevaarlijk verzoek dat er betrouwbaar uitziet

De aanvallers gebruiken aanhoudende, doelgerichte social engineering. Ze doen zich voor als overheidsfunctionarissen of bekende contacten, sturen geloofwaardige uitnodigingen en bouwen gesprekken op voordat ze hun doelwit door een echte beveiligingsprocedure loodsen. Daarbij gaat het onder meer om Google OAuth, app-wachtwoorden en het koppelen van apparaten aan WhatsApp.

Dat kan de bescherming omzeilen die gebruikers normaal met multifactorauthenticatie associëren. Het slachtoffer geeft mogelijk helemaal geen wachtwoord prijs, maar keurt bijvoorbeeld een OAuth-toepassing goed, maakt een app-wachtwoord aan of koppelt een nieuw apparaat. Toch kan die handeling een aanvaller een legitiem ogende toegangsroute tot het account geven.

Wat de drie clusters volgens GTIG deden

UNC6293: imitatie, app-wachtwoorden en OAuth

UNC6293 deed zich volgens de rapportage voor als medewerkers van het Amerikaanse ministerie van Buitenlandse Zaken en andere vertrouwde contacten. De lokmiddelen moesten doelwitten ertoe bewegen app-specifieke wachtwoorden aan te maken en te delen. Zulke wachtwoorden kunnen toegang tot een account bieden buiten een normale tweestapsverificatie om. GTIG beschreef daarnaast phishing waarbij slachtoffers toestemming geven via OAuth. De aanvallers proberen dan geautoriseerde tokens te bemachtigen, in plaats van rechtstreeks een wachtwoord te stelen.

GTIG schatte met matige zekerheid in dat UNC6293 een cluster voor initiële toegang was binnen ICE RELIC, de naam die Google gebruikt voor de actor die eerder bekendstond als APT29.

UNC7005, ook bekend als STORM-2945: WhatsApp en meerstapslokmiddelen

UNC7005 gebruikte een bredere en veranderende reeks technieken, waaronder:

• Fraude met WhatsApp-apparaatkoppeling: slachtoffers werden ertoe gebracht een apparaat onder controle van de aanvaller aan hun WhatsApp-account te koppelen.
• Valse telefoongesprekken en uitnodigingen voor versleutelde chats: zulke contacten moesten vertrouwen opbouwen voordat een schadelijke link of code werd verstuurd.
• Nagemaakte communicatie van organisaties: lokmiddelen verwezen naar het Finnish Operations Center en werden gecombineerd met valse Microsoft-inlogportalen.
• OAuth en malware: Google OAuth werd gebruikt om tokens of accounttoegang te verkrijgen. Daarnaast werd malware verspreid, waaronder de infostealers VIDAR en ATOMIC, die gegevens uit systemen kunnen verzamelen.

De technieken en infrastructuur van dit cluster verschilden van die van UNC6293. Daarom houdt GTIG de twee afzonderlijk bij, ondanks hun vergelijkbare doelwitten en hun gezamenlijke nadruk op legitieme authenticatiefuncties.

UNC5976: OAuth-phishing tegen defensiegerelateerde doelwitten

UNC5976 richtte zich volgens GTIG op personeel en organisaties in de militaire, luchtvaart- en defensiesector, waaronder doelwitten die banden hebben met Oekraïne en Armenië. De phishingcampagnes probeerden via OAuth toestemming te krijgen voor toegang tot accounts of gegevens.

Wat zegt dit over de Russische betrokkenheid?

GTIG beoordeelde met hoge zekerheid dat de activiteit een Russische connectie had. Dat is een attributiebeoordeling: het betekent niet dat elk operationeel detail of elke relatie tussen de clusters met dezelfde mate van zekerheid is bewezen.

Er zijn ook mogelijke verbanden beschreven tussen een deel van de activiteit en ICE RELIC/APT29. De koppeling van UNC6293 aan ICE RELIC werd door GTIG met matige zekerheid beoordeeld. De clusters worden afzonderlijk gevolgd omdat hun werkwijze en infrastructuur niet identiek zijn.

Waarom multifactorauthenticatie op zichzelf niet volstaat

Multifactorauthenticatie blijft een belangrijke beveiligingslaag, maar kan worden ondermijnd wanneer een aanvaller een gebruiker manipuleert om de verkeerde actie goed te keuren. Een onverwacht OAuth-toestemmingsscherm, verzoek om een app-wachtwoord of WhatsApp-koppelingscode kan wijzen op een poging tot accountovername, zelfs als er geen wachtwoord wordt gestolen.

De praktische les: behandel beveiligingsmeldingen als transacties die controle vereisen. Een verzoek is niet automatisch veilig omdat het binnen een bekende dienst verschijnt.

Zo beperk je het risico

De richtlijnen van GTIG komen in de kern neer op: vertraag het proces dat aanvallers juist zo snel mogelijk willen laten verlopen.

• Controleer de volledige URL in de browser voordat je inlogt of OAuth-toegang goedkeurt.
• Verifieer uitnodigingen en verzoeken via een onafhankelijk kanaal. Neem voor uitnodigingen voor conferenties, telefoongesprekken, versleutelde chats en berichten namens een overheid of organisatie zelf contact op via een bekende methode.
• Deel nooit app-wachtwoorden, eenmalige verificatiecodes, QR-codes of apparaatkoppelingscodes. Keur ook geen onverwachte inlog- of OAuth-aanvraag goed.
• Controleer regelmatig gekoppelde apparaten. Verwijder onbekende apparaten uit WhatsApp en andere chatapps.
• Gebruik phishingbestendige MFA. Organisaties zouden waar mogelijk beveiligingssleutels of passkeys moeten afdwingen en risicovolle OAuth-apps en app-wachtwoorden moeten beperken.

Voor mensen die in gevoelige sectoren werken, is de belangrijkste gewoonte eenvoudig: een bekend merk, een echte inlogpagina of een legitieme beveiligingsfunctie bewijst nog niet dat het verzoek betrouwbaar is. Controleer ook wie het verzoek heeft gestart en waarom.