Um grupo de espionagem cibernética associado à Rússia explorou uma vulnerabilidade crítica no Zimbra Collaboration Suite (ZCS) para acessar contas de e-mail de organizações ocidentais durante vários meses. Segundo pesquisadores de segurança, a falha permitia que invasores obtivessem acesso às mensagens simplesmente quando a vítima abria um e-mail, sem necessidade de clicar em links ou baixar arquivos.
A campanha foi revelada por pesquisadores da Proofpoint, que atribuíram os ataques ao grupo conhecido como UNC6293, identificado por atividades de espionagem contra governos, organizações diplomáticas e instituições estratégicas. Os criminosos utilizaram a vulnerabilidade para roubar dados sensíveis e monitorar comunicações de seus alvos.
A brecha afetava o webmail do Zimbra, plataforma amplamente utilizada por empresas, universidades e órgãos públicos para gerenciamento de e-mails corporativos. Ao enviar uma mensagem especialmente preparada, os invasores conseguiam executar código malicioso diretamente no navegador da vítima, comprometendo a sessão autenticada do usuário.
Com isso, era possível acessar e-mails, anexos, contatos e outras informações armazenadas na conta comprometida. Como o ataque acontecia durante a visualização da mensagem, muitas vítimas não percebiam que seus dados estavam sendo acessados.
Especialistas alertam que esse tipo de vulnerabilidade, conhecido como zero-click, é considerado especialmente perigoso por dispensar qualquer ação além da abertura da mensagem. Isso reduz significativamente as chances de o usuário identificar o golpe antes da invasão.
A Zimbra já disponibilizou atualizações de segurança para corrigir a falha e recomenda que administradores instalem imediatamente os patches mais recentes. Também é aconselhável revisar os registros de acesso das contas e monitorar atividades suspeitas para identificar possíveis comprometimentos.
O caso reforça a crescente utilização de vulnerabilidades em serviços de e-mail por grupos de espionagem patrocinados por Estados, que buscam obter informações estratégicas sem chamar a atenção das vítimas. A recomendação é manter sistemas sempre atualizados, adotar autenticação multifator e acompanhar os boletins de segurança dos fornecedores para reduzir os riscos de ataques semelhantes.
