Tre cluster di spionaggio informatico legati alla Russia stanno abusando di Google OAuth per compromettere account di alto valore. Questi attori, tracciati come UNC6293, UNC7005 e UNC5976, colpiscono accademici, aziende aerospaziali, enti governativi e think tank in Europa e negli Stati Uniti. Le campagne sono state documentate dal Google Threat Intelligence Group e confermate da fonti indipendenti.
Le Tecniche di Attacco: OAuth e WhatsApp nel Mirino
Come Funziona l’Abuso di Google OAuth
Il meccanismo è sofisticato ma difficile da rilevare. Gli attaccanti reindirizzano le vittime verso pagine di login Google completamente legittime. Il trucco sta nel progetto di destinazione: si tratta di un Google Cloud Project controllato dagli hacker.
In particolare, UNC5976 crea pagine false di condivisione file. Queste pagine mostrano un pulsante “Continue with Google”. Quando la vittima clicca, avvia un vero flusso OAuth. Dopo l’autenticazione, script malevoli estraggono il token OAuth dall’URL. Quel token consente agli attaccanti di accedere all’account senza conoscere la password.
Vale la pena sottolineare un aspetto critico. La vittima non vede nulla di anomalo. Il login avviene su infrastruttura Google reale. Nessun indicatore visivo segnala il pericolo.
Il Vettore WhatsApp: Account Linking Weaponizzato
Parallelamente, il cluster UNC7005 ha condotto campagne di social engineering tra maggio e giugno 2026. Gli attaccanti impersonano mittenti affidabili. Invitano le vittime a partecipare a una chiamata sicura, una chat riservata o a condividere un documento.
Le istruzioni guidano la vittima a collegare il proprio account WhatsApp a un nuovo dispositivo. Se la vittima segue i passaggi, il dispositivo dell’attaccante ottiene accesso completo all’account. Di conseguenza, l’hacker può leggere messaggi, contatti e file condivisi in tempo reale.
I Bersagli e i Gruppi Coinvolti
Chi è nel Mirino degli Hacker Russi
Le campagne non sono indiscriminate. Gli attori scelgono bersagli ad alto valore strategico. I settori colpiti includono:
- Accademia e ricerca
- Aerospazio e difesa
- Enti governativi
- Think tank e policy maker
La geografia è altrettanto precisa. Le operazioni si concentrano su obiettivi in Europa e negli Stati Uniti. Questo schema è coerente con gli interessi geopolitici russi documentati negli ultimi anni.
I Tre Cluster: UNC6293, UNC7005, UNC5976
Google Threat Intelligence ha attribuito le attività a tre cluster distinti. Ognuno mostra caratteristiche operative proprie. Tuttavia, condividono un obiettivo comune: rubare credenziali e token di autenticazione senza destare sospetti.
UNC5976 si specializza nell’abuso del flusso Google OAuth tramite pagine di phishing elaborate. UNC7005 punta sull’ingegneria sociale legata a WhatsApp. UNC6293 è coinvolto nelle stesse campagne, anche se i dettagli operativi specifici sono ancora in fase di analisi.
Perché Questi Attacchi Sono Così Pericolosi
Legittimità Come Arma Principale
Il punto di forza di queste campagne è l’uso di infrastrutture legittime. Gli attaccanti non costruiscono siti falsi goffi. Sfruttano Google, WhatsApp e i loro stessi meccanismi di autenticazione. Questo rende inefficaci molti controlli di sicurezza tradizionali.
Inoltre, i token OAuth rubati hanno una durata significativa. Un token compromesso permette accessi continuativi senza richiedere nuove credenziali. Le difese basate solo su password sono quindi insufficienti.
Cosa Devono Fare Aziende e CISO
In questo contesto, le organizzazioni devono rivedere le proprie politiche di autenticazione. Alcune misure immediate sono fondamentali:
- Monitorare le autorizzazioni OAuth concesse a terze parti nei propri account Google.
- Verificare regolarmente i dispositivi collegati a WhatsApp e ad altre piattaforme di messaggistica.
- Formare il personale a riconoscere richieste di linking di account non sollecitate.
- Implementare soluzioni di rilevamento anomalie sui token di autenticazione.
- Adottare chiavi hardware (FIDO2/WebAuthn) per gli account più sensibili.
Tuttavia, la tecnologia da sola non basta. Il fattore umano rimane il punto di ingresso principale. La consapevolezza degli utenti è una difesa critica e non sostituibile.
Conclusione
L’abuso di Google OAuth e WhatsApp da parte di hacker legati alla Russia rappresenta una minaccia concreta e in evoluzione. Questi attori dimostrano capacità operative avanzate. Sfruttano la fiducia degli utenti nelle piattaforme che usano ogni giorno. Per le organizzazioni nei settori sensibili, il momento di agire è adesso.
Fonti:
Fonte: Articolo originale
Attacchi come quelli condotti dai cluster UNC6293, UNC7005 e UNC5976 evidenziano quanto sia critica la condivisione tempestiva di threat intelligence tra organizzazioni dello stesso settore. IsacChain permette la condivisione sicura e verificabile di indicatori di compromissione relativi ad abusi OAuth e campagne di social engineering, supportando al contempo la compliance NIS2 in modo automatizzato. Ogni informazione condivisa è tracciata e certificata tramite verifica blockchain, garantendo integrità e non ripudio dei dati scambiati tra i membri dell’ISAC. Scopri come IsacChain può aiutare la tua organizzazione su www.isacchain.com