Hackers russos abusam de OAuth, códigos de dispositivo e vinculação do WhatsApp para sequestrar contas
Três grupos de ciberespionagem suspeitos de manter vínculos com a Rússia estão explorando mecanismos legítimos de autenticação do Google, da Microsoft e do WhatsApp para invadir contas de pessoas e organizações estratégicas. As campanhas miram principalmente acadêmicos, diplomatas, profissionais dos setores aeroespacial e de defesa, integrantes de governos e especialistas ligados a think tanks nos Estados Unidos e na Europa.
A atividade foi relacionada pelo Google Threat Intelligence Group (GTIG) aos grupos identificados como UNC6293, UNC7005 e UNC5976. Em vez de depender apenas de páginas falsas que imitam telas de login, os invasores tentam manipular fluxos reais de OAuth, senhas de aplicativos, códigos de autenticação de dispositivos e recursos de vinculação do WhatsApp.
O objetivo é convencer a própria vítima a concluir etapas legítimas de acesso. Dessa forma, os criminosos podem obter tokens, códigos temporários ou autorizações capazes de permitir a entrada na conta sem necessariamente roubar a senha principal. Segundo os pesquisadores Gabby Roncone e Wesley Shields, as operações são persistentes, altamente direcionadas e adaptadas ao perfil de cada alvo.
UNC6293 explora o processo legítimo de autenticação do Google
O UNC6293 foi descrito inicialmente pelo Google e pelo Citizen Lab em junho de 2025. O grupo é considerado uma subdivisão do Ice Relic, estrutura anteriormente associada aos nomes APT29, Cozy Bear e Midnight Blizzard.
Em operações anteriores, o grupo utilizou as chamadas senhas de aplicativos do Google para obter acesso a contas. Depois, continuou realizando campanhas de phishing muito seletivas, geralmente contra menos de cinco pessoas por vez. Entre as iscas estavam convites e comunicações que aparentavam vir de funcionários do Departamento de Estado dos Estados Unidos, com referências a conferências, reuniões diplomáticas e assuntos internacionais.
Em junho de 2026, os pesquisadores observaram uma mudança importante. O UNC6293 passou a usar ataques baseados em OAuth, levando a vítima a entrar normalmente em um provedor externo e, em seguida, pedindo que ela enviasse a URL completa exibida no navegador ou o código de verificação gerado durante a autenticação.
Embora o login ocorresse em uma página verdadeira, o compartilhamento do código permitia que os invasores concluíssem o processo de acesso. Esse método dificulta a identificação do golpe, já que o usuário pode visualizar um domínio legítimo e acreditar que está apenas confirmando uma autorização comum.
UNC5976 cria páginas falsas para capturar tokens
O UNC5976 atua pelo menos desde março de 2026 e também emprega phishing baseado em OAuth. O grupo utiliza serviços de nuvem e scripts automatizados para coletar tokens de autenticação.
Os criminosos registravam domínios que pareciam relacionados a plataformas de compartilhamento de arquivos. Nesses endereços, apresentavam páginas falsas que imitavam serviços conhecidos. Depois de alguns segundos, surgia um botão com a opção “Continue with Google”.
Ao clicar, a vítima era encaminhada para a tela legítima de autenticação OAuth do Google. O problema ocorria depois do login: em vez de concluir uma autorização segura, o usuário era direcionado a um projeto malicioso hospedado na nuvem. Scripts instalados nessa infraestrutura capturavam o token presente na URL e o enviavam aos operadores.
O Google estima que o grupo tenha criado pelo menos 12 domínios e estruturas relacionadas desde março. Parte desse material foi desativada, obrigando os invasores a transferir algumas páginas para outros provedores de hospedagem.
O UNC5976 também distribuiu um plugin malicioso para Excel chamado HEADRUSH. O complemento era utilizado para entregar um arquivo HTA, um formato que pode executar scripts no Windows. O malware foi identificado em abril de 2026 e disseminado por um domínio que imitava o nome de um instituto de pesquisa da Ucrânia.
Há sinais de que a operação possa ter atingido uma empresa ucraniana ligada aos setores aeroespacial e de imagens, embora a extensão total do ataque ainda não esteja esclarecida. As principais áreas de interesse do grupo incluem organizações militares, empresas aeroespaciais, a indústria de defesa, entidades não governamentais e think tanks. Muitos dos alvos estão na Ucrânia e na Armênia.
UNC7005 combina serviços da Google, Microsoft e WhatsApp
O UNC7005, também conhecido como Storm-2945, tornou-se o principal foco da investigação do GTIG. Identificado em fevereiro de 2026, o grupo concentra suas ações contra acadêmicos, diplomatas e profissionais de organizações sem fins lucrativos na Ucrânia, na Europa Ocidental e nos Estados Unidos.
O Google avalia que UNC7005 e UNC6293 podem fazer parte de uma estrutura do Ice Relic especializada em obter o acesso inicial às contas e redes das vítimas. Além de explorar senhas de aplicativos, o UNC7005 utiliza códigos de dispositivos para atacar contas da Microsoft e do WhatsApp.
No caso da Microsoft, os criminosos enviavam convites falsos para conferências e eventos diplomáticos. Os links levavam a páginas controladas pelo grupo, que coletavam informações sobre o visitante e solicitavam a confirmação de presença. Para tornar o formulário mais convincente, a vítima era convidada a indicar preferências de prato principal e vinho.
Referências a vinhos já apareceram em outras campanhas associadas ao Ice Relic. O uso desse tipo de detalhe ajuda os invasores a criar uma aparência de legitimidade e a estabelecer uma conversa mais natural com pessoas envolvidas em eventos diplomáticos ou acadêmicos.
Como funciona o abuso de OAuth
OAuth foi criado para permitir que um serviço acesse determinados recursos de outra conta sem que o usuário precise entregar sua senha. Em uma situação normal, a pessoa autoriza um aplicativo, confere as permissões solicitadas e conclui o procedimento na página oficial do provedor.
O risco surge quando o criminoso convence o usuário a compartilhar um código, uma URL completa ou uma autorização que deveria permanecer privada. Mesmo sem conhecer a senha, o atacante pode utilizar o token obtido para agir como se fosse o titular da conta.
Por isso, a presença de uma página legítima não garante que toda a operação seja segura. O golpe pode estar na etapa anterior, quando a vítima recebe instruções para copiar informações da barra de endereços, encaminhar códigos ou aprovar acessos inesperados.
Por que a vinculação do WhatsApp é perigosa
O WhatsApp permite vincular novos dispositivos à conta por meio de códigos exibidos no aplicativo. Esse recurso é útil para acessar conversas em computadores e outros equipamentos, mas também pode ser explorado por engenharia social.
O invasor pode afirmar que precisa confirmar a identidade do usuário, validar uma inscrição ou concluir um cadastro. Se a vítima fornecer o código ou aprovar uma solicitação que não iniciou, o criminoso poderá vincular outro dispositivo à conta e acompanhar mensagens, grupos e arquivos.
Uma medida essencial é abrir a área de dispositivos conectados do WhatsApp com frequência e remover imediatamente equipamentos desconhecidos. Também é recomendável ativar a verificação em duas etapas e jamais informar códigos recebidos por SMS ou exibidos no aplicativo.
Sinais de alerta e medidas de proteção
Convites urgentes para conferências, pedidos incomuns de confirmação, formulários com perguntas excessivamente específicas e solicitações para compartilhar URLs completas são sinais de possível ataque. O mesmo vale para mensagens que pedem a aprovação de um login iniciado em outro local.
Organizações que lidam com informações sensíveis devem adotar autenticação resistente a phishing, limitar o uso de senhas de aplicativos e monitorar a criação de novos tokens e dispositivos. Contas privilegiadas precisam de políticas mais rigorosas, revisão periódica de permissões e alertas para acessos incomuns.
Usuários também devem conferir cuidadosamente o endereço do remetente, evitar clicar em convites inesperados e acessar serviços diretamente pelo aplicativo ou pelo domínio digitado manualmente. Caso um código tenha sido compartilhado, é importante revogar sessões, remover dispositivos desconhecidos, trocar credenciais e comunicar imediatamente a equipe responsável pela segurança.
A principal conclusão dessas campanhas é que a autenticação multifator, embora indispensável, não elimina todos os riscos. Quando a própria vítima é induzida a aprovar uma solicitação real ou entregar um código válido, mecanismos legítimos de segurança podem ser transformados em ferramentas para o sequestro de contas.