Grupos de ciberespionagem suspeitos de ligação com a Rússia estão adotando uma estratégia cada vez mais difícil de identificar: em vez de simplesmente criar páginas falsas para roubar senhas, os atacantes estão transformando os próprios mecanismos legítimos de autenticação das plataformas em ferramentas para sequestrar contas.
As operações envolvem três clusters acompanhados por pesquisadores de segurança: UNC6293, UNC7005 e UNC5976.
Entre as técnicas observadas estão abuso do Google OAuth, códigos de dispositivos da Microsoft, senhas específicas de aplicativos e até o recurso legítimo utilizado pelo WhatsApp para vincular uma conta a outro aparelho.
A estratégia representa uma evolução importante do phishing. Em alguns momentos, a vítima realmente está fazendo login em uma página oficial. O golpe acontece no processo seguinte, quando tokens, códigos ou autorizações acabam nas mãos dos invasores.
Google OAuth vira ferramenta para roubar contas
O OAuth é utilizado diariamente por milhões de pessoas.
É ele que permite, por exemplo, entrar em determinados serviços utilizando a opção “Continuar com Google”, sem precisar criar outra senha.
O problema é que criminosos estão explorando justamente a confiança criada por esse processo.
O grupo UNC5976 desenvolveu páginas falsas relacionadas a compartilhamento de arquivos. Depois de alguns segundos, o site apresentava uma janela oferecendo login com uma conta Google.
Ao clicar, a vítima era realmente encaminhada para a página legítima de autenticação do Google.
Isso tornava o ataque muito mais convincente.
Depois da autenticação, entretanto, o usuário acabava redirecionado para uma infraestrutura em nuvem controlada pelos criminosos, onde scripts capturavam o token necessário para comprometer a conta.
Página legítima não significa necessariamente operação segura
Essa característica representa um problema importante para a educação tradicional contra phishing.
Durante anos, uma das principais recomendações foi verificar se o endereço da página de login pertence realmente à empresa.
Isso continua sendo importante, mas já não é suficiente.
Em ataques modernos envolvendo OAuth, a tela de autenticação pode efetivamente pertencer ao Google.
O risco está na aplicação que solicita autorização, nas permissões concedidas e no destino do usuário depois da autenticação.
O atacante não precisa necessariamente falsificar toda a infraestrutura quando consegue abusar de componentes legítimos dela.
UNC6293 pede que a própria vítima entregue o código
Outro grupo, o UNC6293, também modificou suas técnicas.
Anteriormente, os invasores já haviam explorado senhas específicas de aplicativos do Google para obter acesso às contas.
Em campanhas mais recentes, passaram a utilizar fluxos envolvendo OAuth.
A vítima realiza uma autenticação legítima e depois é convencida, por engenharia social, a compartilhar a URL completa ou um código de verificação produzido durante o processo.
Ao entregar essa informação, o usuário pode fornecer justamente aquilo que os criminosos precisam para concluir o acesso.
O UNC6293 é relacionado ao Ice Relic, estrutura anteriormente conhecida como APT29 e também acompanhada pelos nomes Cozy Bear e Midnight Blizzard.
Ataques são pequenos e altamente direcionados
Diferentemente de campanhas tradicionais que enviam milhões de mensagens, algumas dessas operações trabalham com pouquíssimos alvos.
Há campanhas direcionadas a menos de cinco pessoas por vez.
Isso permite que os criminosos estudem cuidadosamente suas vítimas.
As mensagens podem mencionar conferências reais, reuniões diplomáticas, organizações conhecidas ou assuntos diretamente relacionados ao trabalho daquele profissional.
Em algumas situações, os atacantes chegaram a se passar por representantes do Departamento de Estado dos Estados Unidos.
Essa personalização aumenta consideravelmente a credibilidade da abordagem.
WhatsApp também entra na estratégia
O UNC7005, também acompanhado como Storm-2945, foi observado utilizando uma técnica especialmente interessante contra o WhatsApp.
O objetivo não era descobrir a senha da vítima.
Os criminosos tentavam convencê-la a vincular voluntariamente sua conta a um dispositivo controlado pelos próprios hackers.
Para isso, páginas falsas apresentavam recursos aparentemente legítimos, como participação em uma chamada segura, acesso a um chat criptografado ou visualização de documentos.
Primeiro, a vítima informava seu número de telefone.
Com essa informação, os atacantes iniciavam uma solicitação real de vinculação do WhatsApp em um aparelho sob seu controle.
Código apresentado era verdadeiro
É aqui que a engenharia social se torna especialmente perigosa.
A página mostrava para a vítima um QR Code ou código legítimo de vinculação do WhatsApp.
O código não precisava ser falsificado.
O problema era o dispositivo ao qual aquela autorização estava sendo concedida.
Se a vítima seguisse as instruções, sua conta passava a estar vinculada também ao equipamento controlado pelos invasores.
Isso poderia permitir aos criminosos acompanhar informações disponíveis naquela sessão sem precisar quebrar a criptografia do WhatsApp.
Criptografia não precisa ser quebrada quando a conta é sequestrada
Essa distinção é fundamental.
Ataques desse tipo não demonstram uma quebra da criptografia de ponta a ponta utilizada pelo WhatsApp.
Os criminosos procuram contornar o problema.
Em vez de tentar decifrar matematicamente uma mensagem protegida, eles tentam fazer com que um dispositivo controlado por eles seja reconhecido como participante legítimo da conta.
É uma estratégia muito mais simples.
A criptografia continua funcionando — mas agora existe outro aparelho autorizado a participar da comunicação.
Golpe podia avançar para gravação de áudio e vídeo
Depois da vinculação, a página maliciosa ainda oferecia outras opções.
A vítima poderia ser convidada a entrar em uma chamada de voz, acessar um suposto chat criptografado ou baixar determinado arquivo.
Na opção relacionada à chamada, códigos JavaScript presentes na página podiam ser utilizados para capturar áudio e vídeo e transmitir o conteúdo para a infraestrutura controlada pelos atacantes.
Isso mostra que o sequestro da conta poderia ser apenas uma etapa de uma operação maior de vigilância.
Windows e macOS também receberam infostealers
O UNC7005 não depende exclusivamente de ataques contra autenticação.
O grupo também foi observado utilizando malwares conhecidos para roubo de informações, incluindo Vidar e Atomic, também chamado de AMOS.
As campanhas atingiram computadores Windows e macOS.
Entre os alvos estavam acadêmicos, diplomatas e pesquisadores americanos especializados em Rússia e antigas repúblicas soviéticas.
Uma das iscas utilizava uma falsa conferência relacionada a uma resolução de apoio à Ucrânia.
O usuário era incentivado a baixar um suposto aplicativo complementar para consultar o documento completo.
Na realidade, o arquivo poderia colocar suas informações em risco.
Defesa europeia entrou na mira em agosto
A atividade continuou evoluindo durante agosto de 2026.
O UNC7005 registrou domínios que imitavam uma organização finlandesa ligada ao apoio de empresas dos setores de defesa e segurança.
Entre 6 e 13 de agosto, mensagens de phishing direcionadas foram enviadas para pessoas relacionadas à indústria europeia de defesa.
Novamente, o Google OAuth foi utilizado como parte da estratégia.
As vítimas chegavam a uma página legítima de login, mas posteriormente eram encaminhadas para uma infraestrutura controlada pelos atacantes, permitindo o roubo dos tokens necessários para sequestrar as contas.
Até Wi-Fi de hotéis e aeroportos entra na operação
As investigações também encontraram conexões com uma campanha conhecida como CaptiveCrunch.
Nesse cenário, o alvo deixa de ser apenas uma pessoa e passa a ser a própria infraestrutura de acesso à internet.
Criminosos comprometem gateways responsáveis pelos portais de Wi-Fi encontrados em ambientes como hotéis, aeroportos e centros de conferências.
Depois, podem manipular o tráfego para redirecionar usuários para páginas controladas pelos atacantes.
A posição é especialmente estratégica porque esses locais são frequentemente utilizados por executivos, diplomatas e profissionais em viagens internacionais.
Atualizações falsas podem instalar malware
Depois de controlar o redirecionamento, os criminosos também podem apresentar falsas atualizações de navegador ou sistema operacional.
Entre as ameaças associadas às operações estão o CornFlake RAT e o ChocoShell.
O primeiro possui recursos de acesso remoto e espionagem, incluindo coleta de arquivos, credenciais e informações do computador.
Já o ChocoShell pode buscar cookies de navegador, senhas armazenadas e tokens utilizados em ambientes corporativos.
Assim, um ataque iniciado durante a conexão ao Wi-Fi pode acabar fornecendo acesso a recursos empresariais.
MFA continua importante, mas precisa evoluir
Essas campanhas demonstram uma mudança importante na batalha pela identidade digital.
A autenticação multifator continua sendo uma proteção essencial.
Entretanto, nem todas as formas de MFA oferecem a mesma resistência contra phishing.
Quando o usuário pode ser convencido a entregar um código ou autorizar uma sessão criada pelo criminoso, existe espaço para contornar determinadas proteções.
Por isso, organizações que trabalham com informações sensíveis precisam avançar para mecanismos mais resistentes a phishing, como passkeys e chaves físicas baseadas em FIDO2, além de restringir aplicações OAuth e monitorar novos dispositivos vinculados.
O phishing moderno não precisa mais roubar sua senha
Talvez essa seja a principal mudança revelada pelas campanhas.
Durante anos, phishing foi praticamente sinônimo de uma página falsa pedindo usuário e senha.
Agora, criminosos podem tentar roubar:
tokens, autorizações OAuth, códigos de dispositivo, sessões autenticadas e vínculos entre aparelhos.
A senha pode continuar perfeitamente protegida e, ainda assim, a conta ser comprometida.
Isso muda também a forma como usuários precisam avaliar solicitações de autenticação.
Um QR Code legítimo não significa que deve ser escaneado.
Uma página oficial do Google não significa que qualquer aplicativo deva receber autorização.
E um código verdadeiro do WhatsApp pode estar vinculando sua conta ao dispositivo de um criminoso.
A evolução dessas campanhas mostra que o novo objetivo dos hackers não é necessariamente descobrir a sua senha — é convencer os próprios sistemas legítimos a reconhecê-los como você.
