Cosa hanno scoperto davvero i ricercatori di minacce di Google?
Il Threat Intelligence Group di Google ha pubblicato questo mese un rapporto che identifica tre cluster di hacker distinti, tracciati come UNC6293, UNC7005 (chiamato anche Storm-2945) e UNC5976, ai quali attribuisce con alta fiducia un nesso russo. Il rapporto è esplicito su ciò che rende insolite queste campagne: nessuno dei tre gruppi si basa su una vulnerabilità software. Ognuno abusa invece di un flusso di autenticazione legittimo, le stesse schermate delle password per app, le richieste di consenso OAuth e i flussi di collegamento dei dispositivi che un normale dipendente usa ogni giorno per accedere a Google, Microsoft o WhatsApp.
UNC6293 è attivo almeno da giugno 2025, quando Google e il Citizen Lab lo descrissero per la prima volta come probabile sotto-cluster di Ice Relic, il gruppo più noto come APT29 o Cozy Bear. UNC7005 è stato identificato separatamente a febbraio 2026 e UNC5976 viene tracciato da marzo 2026; Google considera i tre gruppi collegati ma operativamente distinti, ciascuno con la propria infrastruttura e la propria lista di obiettivi.
Come diventa una trappola una schermata di login reale?
Il meccanismo varia a seconda del cluster, ma lo schema è costante: far completare all'obiettivo un login genuino e poi catturare ciò che ne deriva. UNC6293 induce le vittime a generare una password per app, una funzione legittima di Google pensata per i dispositivi più vecchi, e poi inoltra quella password all'aggressore, direttamente o tramite una falsa richiesta di codice di verifica. UNC7005 conduce una versione parallela contro gli account Microsoft tramite phishing con codice dispositivo, in cui la vittima viene convinta a inserire un codice dispositivo Microsoft reale per conto dell'aggressore, consegnando un token di sessione valido senza mai digitare una password su una pagina falsa.
La tecnica più caratteristica di UNC7005 colpisce direttamente WhatsApp. Da maggio 2026, il gruppo induce le vittime a collegare il proprio account WhatsApp a un dispositivo controllato dall'aggressore usando la funzione di collegamento dispositivi propria di WhatsApp, la stessa usata per far funzionare WhatsApp su un secondo telefono o un portatile. Una volta collegato, l'aggressore può leggere i messaggi, effettuare chiamate e, tramite JavaScript malevolo inviato durante una finta chiamata vocale, registrare l'audio e il video della vittima senza installare un solo file sul suo dispositivo.
Chi è davvero nella lista degli obiettivi?
Google indica direttamente i settori: mondo accademico, aerospaziale e difesa, governi, think tank e personale diplomatico, concentrati in Europa con una presenza secondaria negli Stati Uniti. Il dato più chiaro del rapporto è datato: tra il 6 e il 13 agosto 2026, UNC7005 ha inviato email di phishing a persone all'interno o collegate all'industria della difesa europea, usando un dominio che imita un centro operativo finlandese. UNC5976 è più orientato al settore militare e industriale, con un targeting geografico incentrato su Ucraina e Armenia.
| Cluster | Prima identificazione | Tecnica principale | Obiettivi principali |
|---|---|---|---|
| UNC6293 | Giugno 2025 | Phishing con password per app e OAuth | Mondo accademico, think tank, diplomatici (Europa, USA) |
| UNC7005 (Storm-2945) | Febbraio 2026 | Phishing con codice dispositivo, collegamento dispositivi WhatsApp | Industria della difesa europea, Ucraina, personale vicino alla NATO |
| UNC5976 | Marzo 2026 | Phishing OAuth tramite domini falsi di condivisione file | Militare, aerospaziale, base industriale della difesa (Ucraina, Armenia) |
Perché il vostro software di sicurezza non riesce a fermarlo?
Perché non c'è nulla da rilevare nel momento della compromissione. Un sistema di rilevamento delle intrusioni cerca codice di exploit, un hash di file dannoso noto o traffico verso un indirizzo segnalato; nulla di tutto ciò esiste quando l'intero attacco consiste in una persona reale che clicca su una schermata di login reale e consegna un token che Google o Microsoft stesse considerano valido. Il malware infostealer che Google documenta più avanti nella catena, VIDAR su Windows e ATOMIC su macOS, arriva solo dopo che l'account è già compromesso, il che significa che l'antivirus intercetta, nella migliore delle ipotesi, solo la seconda metà dell'attacco.
Questa è la parte davvero nuova per un'azienda che ha speso il proprio budget di sicurezza in strumenti endpoint e gestione delle patch: qui il punto di ingresso è una lacuna di permessi e consapevolezza, non tecnica. Un portatile completamente aggiornato con antivirus corrente non offre alcuna resistenza a un collega che approva una richiesta di collegamento dispositivo che non ha avviato lui stesso.
Cosa dovrebbe fare concretamente un imprenditore questa settimana?
Cominciate dalla console di amministrazione, non dall'help desk. In Google Workspace e Microsoft 365, verificate quali app di terze parti e concessioni OAuth ha approvato il personale più a rischio, chiunque ricopra ruoli a contatto con governo, difesa o ricerca accademica, e revocate tutto ciò che non riconoscete. Dove la vostra organizzazione non ha bisogno del flusso di accesso con codice dispositivo di Microsoft per un uso legittimo, come accedere a un'app per smart TV, disattivatelo del tutto; è esattamente il meccanismo sfruttato da UNC7005.
Inoltre, dite alle persone specifiche in questi ruoli, per nome, di non approvare mai una richiesta di collegamento dispositivo di WhatsApp né di condividere un codice di verifica che non hanno generato loro stesse, e di controllare questa settimana il proprio elenco di dispositivi collegati su WhatsApp alla ricerca di qualcosa di sconosciuto. Nulla di tutto ciò costa denaro. Tutto ciò chiude la porta reale che questi tre gruppi stanno usando.
Da leggere ora: Binance ha lasciato la Russia. La casella no. | MCP toglie le sessioni e sposta la fattura dell'inferenza
