L'écran de connexion était vrai. Le hacker était russe.

Qu'ont réellement découvert les chercheurs en menaces de Google?

Le Threat Intelligence Group de Google a publié ce mois-ci un rapport identifiant trois clusters de hackers distincts, suivis sous les noms UNC6293, UNC7005 (aussi appelé Storm-2945) et UNC5976, auxquels il attribue avec une grande confiance un lien avec la Russie. Le rapport est explicite sur ce qui rend ces campagnes inhabituelles: aucun des trois groupes ne s'appuie sur une vulnérabilité logicielle. Chacun abuse plutôt d'un flux d'authentification légitime, les mêmes écrans de mots de passe d'application, invites de consentement OAuth et flux de liaison d'appareils qu'un employé normal utilise chaque jour pour se connecter à Google, Microsoft ou WhatsApp.

UNC6293 est actif depuis au moins juin 2025, lorsque Google et le Citizen Lab l'ont décrit pour la première fois comme un probable sous-cluster d'Ice Relic, le groupe plus largement connu sous le nom d'APT29 ou Cozy Bear. UNC7005 a été identifié séparément en février 2026 et UNC5976 est suivi depuis mars 2026; Google considère les trois comme liés mais opérationnellement distincts, chacun avec sa propre infrastructure et sa propre liste de cibles.

Comment un véritable écran de connexion devient-il un piège?

Le mécanisme varie selon le cluster, mais le schéma reste constant: amener la cible à effectuer une connexion authentique, puis capturer ce qui en résulte. UNC6293 incite ses cibles à générer un mot de passe d'application, une fonctionnalité légitime de Google destinée aux appareils plus anciens, puis relaie ce mot de passe à l'attaquant, directement ou via une fausse demande de code de vérification. UNC7005 mène une version parallèle contre les comptes Microsoft par phishing de code d'appareil, où la victime est convaincue de saisir un vrai code d'appareil Microsoft pour le compte de l'attaquant, livrant un jeton de session valide sans jamais taper de mot de passe sur une fausse page.

La technique la plus distinctive d'UNC7005 vise directement WhatsApp. Depuis mai 2026, le groupe incite ses victimes à lier leur compte WhatsApp à un appareil contrôlé par l'attaquant en utilisant la fonction de liaison d'appareils propre à WhatsApp, celle-là même qui sert à faire fonctionner WhatsApp sur un second téléphone ou un ordinateur portable. Une fois lié, l'attaquant peut lire les messages, passer des appels et, via un JavaScript malveillant diffusé pendant un faux appel vocal, enregistrer l'audio et la vidéo de la cible elle-même sans installer le moindre fichier sur son appareil.

Qui figure réellement sur la liste des cibles?

Google nomme directement les secteurs: le monde universitaire, l'aérospatiale et la défense, les gouvernements, les think tanks et le personnel diplomatique, concentrés en Europe avec une présence secondaire aux États-Unis. La donnée la plus claire du rapport est datée: entre le 6 et le 13 août 2026, UNC7005 a envoyé des e-mails de phishing à des personnes appartenant ou liées à l'industrie de défense européenne, en utilisant un domaine usurpant un centre d'opérations finlandais. UNC5976 penche davantage vers le militaire et l'industriel, avec un ciblage géographique centré sur l'Ukraine et l'Arménie.

Pourquoi votre logiciel de sécurité ne peut-il pas détecter cela?

Parce qu'il n'y a rien à détecter au moment de la compromission. Un système de détection d'intrusion recherche du code d'exploitation, une empreinte de fichier malveillant connue ou du trafic vers une adresse signalée; rien de tout cela n'existe lorsque l'attaque entière consiste en une personne réelle cliquant sur un véritable écran de connexion et livrant un jeton que Google ou Microsoft lui-même considère valide. Le malware voleur d'informations que Google documente plus loin dans la chaîne, VIDAR sous Windows et ATOMIC sous macOS, n'arrive qu'après que le compte est déjà compromis, ce qui signifie que l'antivirus n'intercepte au mieux que la seconde moitié de l'attaque.

C'est la partie véritablement nouvelle pour une entreprise qui a consacré son budget de sécurité aux outils de terminaux et à la gestion des correctifs: le point d'entrée ici est une faille de permissions et de sensibilisation, pas une faille technique. Un ordinateur portable entièrement corrigé avec un antivirus à jour n'oppose aucune résistance à un collègue qui approuve une demande de liaison d'appareil qu'il n'a pas lui-même initiée.

Que devrait faire concrètement un dirigeant cette semaine?

Commencez par la console d'administration, pas par le support technique. Dans Google Workspace et Microsoft 365, examinez quelles applications tierces et autorisations OAuth votre personnel le plus exposé, quiconque occupant des fonctions liées au gouvernement, à la défense ou à la recherche académique, a approuvées, et révoquez tout ce qui n'est pas reconnu. Là où votre organisation n'a pas besoin du flux de connexion par code d'appareil de Microsoft pour un usage légitime, comme se connecter à une application de télévision connectée, désactivez-le entièrement; c'est exactement le mécanisme qu'exploite UNC7005.

Par ailleurs, indiquez aux personnes concernées dans ces fonctions, nommément, de ne jamais approuver une demande de liaison d'appareil WhatsApp ni de partager un code de vérification qu'elles n'ont pas elles-mêmes généré, et de vérifier cette semaine leur propre liste d'appareils liés sur WhatsApp à la recherche de quoi que ce soit d'inconnu. Rien de tout cela ne coûte d'argent. Tout cela ferme la porte réelle que ces trois groupes utilisent.

À lire ensuite: Binance a quitté la Russie. Pas sa boîte conformité.  |  MCP supprime les sessions et déplace votre facture d'inférence