俄羅斯疑似黑客不靠破解密碼，反而誘導目標親手放行帳戶

三個集群各自採用甚麼手法？

UNC6293：冒充美國官員，套取應用程式密碼及 OAuth 權限

據 GTIG 指出，UNC6293 曾冒充美國國務院官員及其他可信聯絡人，誘使目標建立並透露應用程式專用密碼。這類密碼可以在一般第二重認證提示以外，為攻擊者提供帳戶存取途徑。

GTIG 亦描述了其採用 OAuth 同意式釣魚：攻擊者不是直接偷取密碼，而是誘使受害者授權，從而取得可使用的存取令牌。

GTIG 以中等信心評估，UNC6293 是 ICE RELIC 的初始存取子集群；ICE RELIC 是 Google 對過往稱為 APT29 的行動者所使用的名稱。

UNC7005／STORM-2945：由假通話到 WhatsApp 裝置劫持

UNC7005 使用多種不斷變化的誘餌，包括：

• **WhatsApp 裝置連結騙局：**誘使受害者把由攻擊者控制的裝置連結到自己的 WhatsApp 帳戶。
• **假語音通話及加密通訊邀請：**先透過互動建立信任，之後才送出惡意連結或代碼。
• **冒充機構的通訊：**攻擊者曾利用提及芬蘭行動中心（Finnish Operations Center）的訊息，配合假冒的 Microsoft 登入頁面。
• **OAuth 及惡意軟件：**Google OAuth 流程被用來索取令牌或帳戶權限，同時亦部署 VIDAR 及 ATOMIC 等資訊竊取程式。

雖然 UNC7005 與 UNC6293 都針對相近目標，並濫用正常的認證功能，但兩者的技術手法和網絡基礎設施並不相同，因此 GTIG 目前將它們分開追蹤。

UNC5976：以 OAuth 釣魚瞄準國防相關目標

UNC5976 據報集中針對軍事、航空航天及國防相關人員和組織，包括與烏克蘭及亞美尼亞有關的目標。其釣魚行動透過 OAuth 索取授權，試圖進入受害者的帳戶或取得其中資料。

Google 如何評估俄羅斯關聯？

GTIG 以高信心評估，整體活動具有俄羅斯關聯。不過，這屬於歸因判斷，並不代表每項行動細節或各集群之間的關係，都已達到同等程度的證實。

現有報告亦提到，部分活動可能與 ICE RELIC／APT29 有關。當中，GTIG 只以中等信心評估 UNC6293 與 ICE RELIC 的關係；由於三個集群的技術和基礎設施並不完全相同，它們仍然被分開追蹤。

有多重認證，為甚麼仍然會失守？

多重認證本身仍然重要，但如果攻擊者成功操控用戶去批准錯誤操作，它也可以被繞過。突然出現的 OAuth 同意畫面、建立應用程式密碼要求，或 WhatsApp 裝置連結碼，都可能代表有人正嘗試接管帳戶，即使對方從未偷走你的原有密碼。

重點是：認證提示應被視為一項需要核實的交易，而不是因為畫面出現在熟悉的服務內，就自動等於安全。

GTIG 建議的防禦方法

GTIG 的建議，是放慢攻擊者試圖加快的流程，逐項確認要求是否真實：

• 登入或批准 OAuth 存取前，檢查完整瀏覽器網址。
• **獨立核實邀請及要求。**對於會議邀請、語音通話、加密通訊邀請，以及聲稱來自政府或機構的訊息，應使用已知的聯絡方法重新確認。
• **切勿分享應用程式密碼、一次性驗證碼、QR 碼或裝置連結碼。**不要批准突然出現的登入或 OAuth 要求。
• **定期檢查已連結的通訊裝置。**在 WhatsApp 及其他通訊應用程式內，移除不認識的裝置。
• **採用具抗釣魚能力的多重認證。**機構應優先使用安全金鑰或通行密鑰，並在可行情況下限制高風險 OAuth 應用程式及應用程式專用密碼。

對於在敏感行業工作的人士，最重要的習慣其實很簡單：熟悉的品牌、真正的登入頁面，甚至是真正存在的認證功能，都不足以證明要求一定合法。除了核實要求本身，也要確認究竟是哪個人或組織發出要求。