Як три підозрювані російські кібергрупи зловживають легітимними функціями входу

Google Threat Intelligence Group (GTIG) 20 серпня 2026 року повідомила про три підозрювані російські кіберрозвідувальні кластери — UNC6293, UNC7005 і UNC5976. Вони атакували людей та організації, пов’язані з академічним середовищем, аерокосмічною галуззю, обороною, державними структурами й аналітичними центрами в Європі та США.

Особливість цих кампаній у тому, що зловмисники не покладалися передусім на злам паролів чи експлуатацію вразливостей програмного забезпечення. Натомість вони переконували жертв самостійно скористатися справжніми функціями безпеки — авторизацією Google OAuth, паролями для окремих застосунків або прив’язкою нового пристрою до WhatsApp.

Як безпечний запит перетворюється на пастку

Атаки будувалися на тривалій і прицільній соціальній інженерії. Зловмисники видавали себе за державних службовців, колег чи інших знайомих контактів, створювали правдоподібні запрошення та листування, а потім підштовхували жертву до конкретної дії в реальному сервісі.

У такій схемі користувач може не передавати пароль узагалі. Він може:

• підтвердити доступ сторонньому застосунку через OAuth;
• створити й повідомити пароль для окремого застосунку;
• відсканувати QR-код або ввести код для прив’язки нового пристрою в WhatsApp.

Однак наслідок може бути тим самим: зловмисник отримує легітимний на вигляд шлях до акаунта. Тому сама наявність багатофакторної автентифікації не гарантує захисту, якщо користувача змусили схвалити неправильний запит.

Що робили окремі кластери

UNC6293: фальшиві посадовці, паролі застосунків і OAuth

За даними GTIG, UNC6293 видавав себе за співробітників Державного департаменту США та інших довірених контактів. Мета таких повідомлень — переконати жертв створити й передати пароль для окремого застосунку. Такий пароль може надати доступ до акаунта поза межами звичайного запиту другого фактора.

Кластер також застосовував фішинг із використанням згоди OAuth. У цьому випадку нападники намагаються отримати авторизовані токени або дозволи, а не безпосередньо викрасти пароль.

GTIG із помірною впевненістю оцінює UNC6293 як кластер первинного доступу, пов’язаний із ICE RELIC — так Google називає угруповання, раніше відоме як APT29.

UNC7005 / STORM-2945: WhatsApp, фальшиві дзвінки та підроблені входи

UNC7005 використовував ширший набір прийомів, який змінювався в ході кампаній:

• Шахрайство з прив’язкою пристрою WhatsApp. Жертв підштовхували під’єднати до свого акаунта пристрій, контрольований зловмисниками.
• Фальшиві голосові дзвінки та запрошення до зашифрованих чатів. Так нападники спершу вибудовували довіру, а вже потім надсилали шкідливе посилання чи код.
• Підроблені повідомлення від організацій. У схемах використовувалися згадки про Finnish Operations Center — фінський операційний центр — разом із фальшивими сторінками входу Microsoft.
• Зловживання OAuth і доставка шкідливих програм. Через Google OAuth зловмисники намагалися отримати токени або доступ до акаунтів, а паралельно поширювали викрадачі інформації VIDAR та ATOMIC.

Попри схожі цілі та використання справжніх функцій автентифікації, UNC7005 відрізнявся від UNC6293 інструментами, інфраструктурою й тактикою. Саме тому GTIG відстежує їх окремо.

UNC5976: OAuth-фішинг проти оборонного сектору

UNC5976, за оцінкою GTIG, зосереджувався на військових, аерокосмічних і оборонних організаціях та їхніх співробітниках. Серед цілей були структури й люди, пов’язані з Україною та Вірменією. Кластер використовував OAuth-фішинг, щоб отримати дозвіл на доступ до акаунтів або даних жертв.

Що відомо про російський зв’язок

GTIG із високою впевненістю оцінює всю описану активність як таку, що має російський зв’язок. Це саме оцінка атрибуції: вона не означає, що кожна деталь операцій або зв’язок між усіма кластерами доведені з однаковою впевненістю.

Зокрема, зв’язок UNC6293 з ICE RELIC оцінено з помірною впевненістю. Кластери й надалі відстежують окремо, оскільки їхні методи роботи та інфраструктура не є ідентичними.

Чому MFA не завжди достатньо

Багатофакторна автентифікація — важливий рівень захисту, але вона не може повністю компенсувати помилкове рішення користувача. Неочікуване вікно згоди OAuth, прохання створити пароль застосунку або код прив’язки WhatsApp можуть бути ознакою захоплення акаунта, навіть якщо пароль ніхто не викрадає.

Практичний висновок простий: до запитів автентифікації потрібно ставитися як до операцій, що потребують перевірки. Знайомий логотип, справжня сторінка входу або реальна функція сервісу самі по собі не доводять, що запит надійшов від легітимної особи.

Як захиститися

Рекомендації GTIG зводяться до того, щоб не поспішати й перевіряти дію, якої домагається нападник:

• Перевіряйте повну URL-адресу в браузері перед входом або схваленням доступу OAuth.
• Незалежно підтверджуйте запрошення та прохання. Для цього використовуйте відомий номер телефону, офіційний сайт або інший перевірений канал зв’язку, особливо якщо йдеться про конференцію, голосовий дзвінок, зашифрований чат чи повідомлення нібито від державної установи.
• Не повідомляйте паролі застосунків, одноразові коди, QR-коди чи коди прив’язки пристрою. Не схвалюйте неочікуваний вхід або запит OAuth.
• Регулярно перевіряйте прив’язані пристрої. Видаляйте з WhatsApp та інших месенджерів незнайомі пристрої.
• Використовуйте стійку до фішингу MFA. Організаціям варто надавати перевагу апаратним ключам безпеки або ключам доступу (passkeys), а також за можливості обмежувати ризиковані OAuth-застосунки й паролі для окремих застосунків.

Головний урок цих кампаній: справжня функція входу не робить автоматично безпечним запит, який вас до неї привів. Потрібно перевіряти не лише сервіс, а й сам запит, його контекст та особу або організацію, що його ініціювала.