Hackers russos exploram OAuth do Google e vinculação do WhatsApp para sequestrar contas
Três grupos de ciberespionagem suspeitos de manter vínculos com a Rússia estão usando funções legítimas de autenticação do Google, da Microsoft e do WhatsApp para invadir contas de acadêmicos, diplomatas, profissionais dos setores aeroespacial e de defesa, órgãos governamentais e integrantes de think tanks nos Estados Unidos e na Europa.
A investigação do Google Threat Intelligence Group (GTIG) relaciona as campanhas aos clusters UNC6293, UNC7005 e UNC5976. Em vez de depender apenas de páginas falsas para capturar senhas, os invasores abusam de mecanismos reais, como OAuth, senhas de aplicativos, códigos de autenticação de dispositivos e a vinculação de aparelhos ao WhatsApp.
A estratégia torna os ataques mais difíceis de identificar. Em muitos casos, a vítima acessa uma página oficial, realiza um procedimento legítimo de login e acredita que está concluindo uma autenticação normal. O golpe ocorre quando o código, a URL ou o token gerado nesse processo é compartilhado com os criminosos.
Segundo os pesquisadores Gabby Roncone e Wesley Shields, os grupos mantêm campanhas persistentes e flexíveis. Eles adaptam o discurso, a infraestrutura e o método de acesso conforme o perfil do alvo, utilizando engenharia social para comprometer contas pessoais em diferentes plataformas.
UNC6293 explora autenticação legítima do Google
O UNC6293 foi descrito inicialmente pelo Google e pelo Citizen Lab em junho de 2025. O grupo é considerado um subgrupo do Ice Relic, também associado aos nomes APT29, Cozy Bear e Midnight Blizzard.
Anteriormente, os operadores exploravam as chamadas senhas de aplicativos do Google para assumir o controle de contas. Depois, passaram a conduzir campanhas de phishing altamente direcionadas, normalmente contra menos de cinco pessoas por vez. Entre os alvos estavam profissionais ligados à diplomacia e autoridades que recebiam mensagens com convites para conferências, reuniões e eventos internacionais.
Em junho de 2026, o Google identificou uma mudança no método empregado pelo grupo. As mensagens passaram a instruir a vítima a fazer login em um provedor externo por meio do fluxo legítimo de OAuth. Em seguida, os invasores solicitavam o envio da URL completa exibida no navegador ou do código de verificação gerado durante a autenticação.
Com essas informações, os criminosos conseguiam concluir o processo de autorização e obter acesso à conta sem precisar descobrir diretamente a senha principal do usuário. Esse tipo de operação também pode escapar de filtros que procuram páginas falsas de login, já que parte importante da autenticação acontece em serviços oficiais.
UNC5976 usa páginas falsas para capturar tokens OAuth
Ativo pelo menos desde março de 2026, o UNC5976 também utiliza phishing baseado em OAuth. O grupo combina domínios recém-registrados com infraestrutura em nuvem para automatizar a coleta de tokens de autenticação.
Os criminosos costumam registrar endereços que imitam serviços de compartilhamento de arquivos. Depois, montam páginas falsas nas quais a vítima é informada de que precisa abrir ou visualizar um documento. Após alguns segundos, surge um botão com a opção “Continue with Google”.
O clique leva o usuário à página legítima de autenticação OAuth do Google. O problema aparece depois do login: a vítima é redirecionada para um projeto malicioso hospedado na nuvem. Scripts instalados nesse ambiente capturam o token presente na URL e o encaminham aos operadores.
O Google estima que o UNC5976 tenha criado ao menos 12 novos domínios e estruturas relacionadas desde março. Parte desses recursos foi desativada, mas o grupo respondeu transferindo algumas páginas para outros provedores de hospedagem.
A operação também envolveu o plugin malicioso para Excel conhecido como HEADRUSH. Identificado em abril de 2026, o componente era usado para entregar um arquivo HTA e foi distribuído por um domínio que imitava o endereço de um instituto de pesquisa ucraniano.
Há indícios de que a campanha tenha atingido uma empresa ucraniana dos setores aeroespacial e de imagens. Ainda não está claro, porém, qual foi a extensão total da operação. O UNC5976 concentra suas ações em organizações militares, empresas aeroespaciais, integrantes da base industrial de defesa, ONGs e think tanks. Muitos dos alvos estão na Ucrânia e na Armênia.
UNC7005 combina Google, Microsoft e WhatsApp
O UNC7005, também identificado como Storm-2945, tornou-se o principal foco da análise do GTIG. O grupo foi identificado em fevereiro de 2026 e direciona ataques principalmente a acadêmicos, diplomatas e profissionais de organizações sem fins lucrativos na Ucrânia, na Europa Ocidental e nos Estados Unidos.
O Google avalia que UNC7005 e UNC6293 possam fazer parte de uma estrutura do Ice Relic especializada em obter o primeiro acesso às contas e redes das vítimas. Além do abuso de senhas de aplicativos, o UNC7005 utiliza códigos de dispositivos para comprometer contas da Microsoft e perfis do WhatsApp.
Em ataques contra usuários da Microsoft, os criminosos enviavam convites falsos para conferências e encontros diplomáticos. Os links levavam a páginas controladas pelo grupo, que coletavam dados sobre o visitante e pediam a confirmação da presença. Para tornar o cenário mais convincente, os formulários solicitavam informações como preferência de prato principal e tipo de vinho.
Iscas relacionadas a bebidas e jantares já apareceram em outras operações atribuídas ao Ice Relic. A repetição desse tema indica que os invasores estudam os hábitos profissionais dos alvos e criam mensagens compatíveis com situações reais de networking, eventos internacionais e reuniões institucionais.
Como ocorre o sequestro de contas
O abuso de OAuth não exige necessariamente que o criminoso veja a senha da vítima. O objetivo pode ser obter um token que autorize o acesso a determinados serviços. Dependendo das permissões concedidas, esse token pode permitir a leitura de mensagens, arquivos, contatos ou dados armazenados na conta.
Nos ataques com códigos de dispositivos, o usuário pode receber uma solicitação aparentemente normal para confirmar o acesso em outro aparelho. O criminoso, entretanto, inicia o processo remotamente e convence a vítima a fornecer o código. Ao fazer isso, ela autoriza o dispositivo controlado pelo invasor.
No WhatsApp, a vinculação de aparelhos representa um risco especialmente relevante. Caso o usuário informe um código de registro ou aprove uma solicitação desconhecida, o invasor pode conectar sua própria sessão à conta e acompanhar conversas enquanto o acesso permanecer ativo.
Medidas para reduzir o risco
A principal recomendação é nunca compartilhar códigos de autenticação, URLs completas de redirecionamento ou mensagens recebidas durante um processo de login. Empresas legítimas não costumam pedir que o usuário copie e envie esse tipo de informação por e-mail ou mensageiros.
Também é importante verificar o domínio antes de clicar em botões como “Continuar com Google” ou “Entrar com Microsoft”. Mesmo quando a página final parece oficial, o site que iniciou o processo pode ser fraudulento e ter sido criado para conduzir a vítima a um fluxo de autorização malicioso.
A autenticação multifator baseada em aplicativo autenticador ou chave física oferece proteção superior aos códigos enviados por SMS. Para contas críticas, chaves de segurança compatíveis com FIDO2 reduzem significativamente o risco de aprovação involuntária em páginas falsas.
Os usuários devem revisar regularmente os aplicativos autorizados em suas contas, remover integrações desconhecidas e verificar os dispositivos conectados ao WhatsApp e aos serviços corporativos. Qualquer sessão não reconhecida deve ser encerrada imediatamente.
Organizações que trabalham com diplomacia, defesa, pesquisa ou relações internacionais também precisam treinar funcionários para reconhecer convites falsos, formulários incomuns e solicitações urgentes. A combinação de autenticação forte, monitoramento de acessos e educação contra engenharia social é essencial para impedir que um simples código entregue aos invasores resulte no sequestro completo de uma conta.