Rosyjscy hakerzy wykorzystują prawdziwe funkcje logowania do przejmowania kont

20 sierpnia 2026 r. Google Threat Intelligence Group (GTIG) poinformowała, że trzy podejrzewane rosyjskie klastry cyber szpiegowskie atakują osoby związane z nauką, lotnictwem, obronnością, administracją publiczną i think tankami w Europie oraz Stanach Zjednoczonych. Ich działania wyróżniają się tym, że wykorzystują prawdziwe procedury logowania i dodawania urządzeń, nakłaniając ofiary do samodzielnego przyznania dostępu — zamiast polegać głównie na łamaniu haseł czy wykorzystywaniu luk w oprogramowaniu.

Gdy prawdziwa funkcja staje się narzędziem ataku

Ataki opierają się na uporczywej, precyzyjnie ukierunkowanej socjotechnice. Napastnicy podszywają się pod zaufanych urzędników lub znajomych, przygotowują wiarygodne zaproszenia i prowadzą rozmowy, a następnie kierują ofiarę przez rzeczywiste funkcje bezpieczeństwa konta. Wśród wykorzystywanych mechanizmów znalazły się autoryzacja Google OAuth, hasła aplikacji oraz łączenie urządzeń w WhatsAppie.

To sposób działania, który może ominąć ochronę kojarzoną przez użytkowników z uwierzytelnianiem wieloskładnikowym. Ofiara nie musi wcale podawać hasła. Może zaakceptować aplikację OAuth, utworzyć hasło aplikacji albo połączyć z kontem nowe urządzenie. Każda z tych czynności może zapewnić atakującemu wiarygodnie wyglądającą drogę do przejęcia konta.

Co według GTIG robiły poszczególne klastry?

UNC6293: podszywanie się, hasła aplikacji i OAuth

Klastr UNC6293 miał podszywać się pod pracowników Departamentu Stanu USA oraz inne zaufane osoby. Przygotowane przynęty nakłaniały cele do utworzenia i ujawnienia haseł aplikacji, które mogą zapewnić dostęp do konta poza standardowym procesem dodatkowej weryfikacji. GTIG opisała również phishing oparty na zgodzie OAuth — w tym przypadku napastnicy próbują uzyskać autoryzowane tokeny, zamiast bezpośrednio kraść hasło.

GTIG oceniła z umiarkowanym poziomem pewności, że UNC6293 jest klastrem odpowiedzialnym za uzyskanie początkowego dostępu w ramach ICE RELIC — nazwy używanej przez Google wobec aktora znanego wcześniej jako APT29.

UNC7005, znany także jako STORM-2945: WhatsApp i wieloetapowe przynęty

UNC7005 wykorzystywał szerszy, zmieniający się zestaw technik, w tym:

• Oszustwa związane z łączeniem urządzeń WhatsApp: ofiary nakłaniano do połączenia z kontem urządzenia kontrolowanego przez napastnika.
• Fałszywe rozmowy głosowe i zaproszenia do szyfrowanych komunikatorów: interakcje te miały zbudować zaufanie przed przekazaniem złośliwego linku lub kodu.
• Podszywanie się pod organizacje: w kampaniach wykorzystywano komunikaty nawiązujące do Fińskiego Centrum Operacyjnego oraz fałszywe portale logowania Microsoftu.
• OAuth i dostarczanie złośliwego oprogramowania: przepływy Google OAuth służyły do pozyskiwania tokenów lub dostępu do kont, a równolegle wdrażano malware, w tym złodzieje informacji VIDAR i ATOMIC.

Techniki i infrastruktura UNC7005 różniły się od tych stosowanych przez UNC6293. Dlatego GTIG śledzi oba klastry oddzielnie, mimo podobnego profilu celów i wspólnego wykorzystywania legalnych mechanizmów uwierzytelniania.

UNC5976: phishing OAuth wymierzony w sektor obronny

UNC5976 miał koncentrować się na personelu i organizacjach związanych z wojskiem, lotnictwem oraz obronnością, w tym na celach powiązanych z Ukrainą i Armenią. Kampania phishingowa wykorzystywała OAuth, aby uzyskać zgodę na dostęp do kont lub danych ofiar.

Co Google mówi o rosyjskim powiązaniu?

GTIG oceniła z wysokim poziomem pewności, że opisywana aktywność ma rosyjskie powiązania. Jest to ocena atrybucyjna, a nie twierdzenie, że każdy szczegół operacji lub relacja między klastrami została potwierdzona z taką samą pewnością.

Dostępne informacje wskazują również na możliwe związki części działań z ICE RELIC/APT29. Połączenie UNC6293 z ICE RELIC Google oceniło z umiarkowanym poziomem pewności. Klastry nadal są jednak śledzone osobno, ponieważ ich infrastruktura i sposób prowadzenia operacji nie są identyczne.

Dlaczego samo MFA nie wystarcza?

Uwierzytelnianie wieloskładnikowe może nie zadziałać, jeśli napastnik zmanipuluje użytkownika tak, aby ten zaakceptował niewłaściwą czynność. Niespodziewany ekran zgody OAuth, prośba o utworzenie hasła aplikacji czy kod łączenia WhatsAppa mogą oznaczać próbę przejęcia konta — nawet jeśli żadne hasło nie zostało skradzione.

Praktyczny wniosek jest prosty: monitów uwierzytelniania należy używać świadomie, jak operacji wymagających dodatkowego potwierdzenia. Nie są automatycznie bezpieczne tylko dlatego, że pojawiają się w znanej usłudze.

Jak się chronić?

Zalecenia GTIG sprowadzają się do spowolnienia procesu, który napastnicy próbują przyspieszyć:

• Sprawdzaj pełny adres w przeglądarce przed zalogowaniem lub zaakceptowaniem dostępu OAuth.
• Weryfikuj zaproszenia i prośby niezależnym kanałem. W przypadku zaproszeń na konferencje, rozmów głosowych, próśb o kontakt w szyfrowanym komunikatorze oraz wiadomości rzekomo pochodzących od urzędników lub organizacji skontaktuj się ze znaną, zaufaną osobą.
• Nigdy nie udostępniaj haseł aplikacji, jednorazowych kodów weryfikacyjnych, kodów QR ani kodów łączenia urządzeń. Nie akceptuj też niespodziewanych próśb o logowanie lub zgody OAuth.
• Regularnie sprawdzaj połączone urządzenia w komunikatorach. Usuń z WhatsAppa i innych aplikacji urządzenia, których nie rozpoznajesz.
• Stosuj MFA odporne na phishing. Organizacje powinny w miarę możliwości priorytetowo traktować klucze bezpieczeństwa lub passkeys oraz ograniczać ryzykowne aplikacje OAuth i użycie haseł aplikacji.

Dla osób pracujących w sektorach wrażliwych najważniejsza zasada brzmi: znajoma marka, prawdziwa strona logowania ani legalna funkcja bezpieczeństwa nie dowodzą jeszcze, że prośba jest autentyczna. Trzeba dodatkowo potwierdzić samą prośbę oraz osobę lub organizację, która ją zainicjowała.