Nhóm tấn công nghi dùng OAuth và WhatsApp để chiếm tài khoản
"Google Threat Intelligence Group reported that suspected Russian cyber-espionage clusters UNC6293, UNC5976, and UNC7005 are abusing legitimate authentication flows, including Google OAuth, app passwords, device code phishing, and WhatsApp device linking, to hijack accounts. The activity targets academia, aerospace and defense, governments, NGOs, and think tanks across Europe, Ukraine, and the U.S.; Google disrupted related infrastructure and the article does not describe a software vulnerability or CVE, but rather phishing-based account compromise."
Rủi ro chiếm đoạt tài khoản cao do lạm dụng luồng xác thực hợp lệ; có thể dẫn tới truy cập email, dữ liệu và liên lạc nội bộ.
Có thể gây gián đoạn vận hành, lộ thông tin nhạy cảm và ảnh hưởng đến uy tín tổ chức; các nhóm mục tiêu thường là đơn vị có giá trị thông tin cao.
Google Threat Intelligence Group cho biết ba cụm đe dọa bị nghi liên quan đến Nga gồm UNC6293, UNC5976 và UNC7005 đang lợi dụng các luồng xác thực hợp lệ để chiếm quyền tài khoản. Hoạt động này nhắm vào người dùng trong học thuật, hàng không vũ trụ, quốc phòng, chính phủ, NGO và think tank tại châu Âu, Ukraine và Mỹ.
Theo báo cáo, các chiến dịch sử dụng nhiều kỹ thuật như Google OAuth phishing, app password phishing, device code phishing và liên kết thiết bị WhatsApp. Điểm đáng chú ý là đây không phải lỗ hổng phần mềm hay CVE, mà là hình thức lừa đảo dựa trên việc người dùng tự cấp quyền hoặc nhập mã xác minh.
Google cho biết đã gián đoạn hạ tầng liên quan đến UNC5976 và ghi nhận nhóm này chuyển sang nhà cung cấp khác sau khi các miền độc hại bị vô hiệu hóa. Một số chiến dịch còn dùng tệp mồi như trang chia sẻ tệp giả, tiện ích Excel độc hại HEADRUSH và các lời mời sự kiện ngoại giao để tăng độ tin cậy.
Khuyến nghị: áp dụng MFA chống phishing, hạn chế dùng app passwords, kiểm tra kỹ URL xác thực, không chia sẻ verification code, và giám sát đăng nhập bất thường trên Google và WhatsApp.