O que descobriram realmente os investigadores de ameaças da Google?
O Threat Intelligence Group da Google publicou este mês um relatório que identifica três clusters de hackers distintos, monitorizados como UNC6293, UNC7005 (também chamado Storm-2945) e UNC5976, aos quais atribui, com elevada confiança, uma ligação russa. O relatório é explícito sobre o que torna estas campanhas invulgares: nenhum dos três grupos depende de uma vulnerabilidade de software. Em vez disso, cada um abusa de um fluxo de autenticação legítimo, os mesmos ecrãs de palavra-passe de aplicação, pedidos de consentimento OAuth e fluxos de associação de dispositivos que um funcionário normal usa todos os dias para iniciar sessão na Google, na Microsoft ou no WhatsApp.
A UNC6293 está ativa pelo menos desde junho de 2025, quando a Google e o Citizen Lab a descreveram pela primeira vez como um provável subcluster da Ice Relic, o grupo mais amplamente conhecido como APT29 ou Cozy Bear. A UNC7005 foi identificada separadamente em fevereiro de 2026 e a UNC5976 tem sido monitorizada desde março de 2026; a Google trata as três como relacionadas mas operacionalmente distintas, cada uma com a sua própria infraestrutura e lista de alvos.
Como é que um ecrã de login real se torna uma armadilha?
O mecanismo varia consoante o cluster, mas o padrão é constante: levar o alvo a concluir um login genuíno e depois capturar o que daí resulta. A UNC6293 induz os alvos a gerar uma palavra-passe específica de aplicação, uma funcionalidade legítima da Google destinada a dispositivos mais antigos, e depois reencaminha essa palavra-passe para o atacante, diretamente ou através de um pedido falso de código de verificação. A UNC7005 executa uma versão paralela contra contas Microsoft através de phishing por código de dispositivo, em que a vítima é convencida a introduzir um código de dispositivo Microsoft real em nome do atacante, entregando um token de sessão válido sem alguma vez escrever uma palavra-passe numa página falsa.
A técnica mais distintiva da UNC7005 visa diretamente o WhatsApp. Desde maio de 2026, o grupo tem induzido vítimas a associar a sua conta de WhatsApp a um dispositivo controlado pelo atacante, usando a própria funcionalidade de associação de dispositivos do WhatsApp, a mesma usada para correr o WhatsApp num segundo telefone ou num portátil. Uma vez associado, o atacante pode ler mensagens, fazer chamadas e, através de JavaScript malicioso servido durante uma chamada de voz falsificada, gravar o próprio áudio e vídeo do alvo sem instalar um único ficheiro no seu dispositivo.
Quem está realmente na lista de alvos?
A Google nomeia os setores diretamente: meio académico, aeroespacial e defesa, governos, think tanks e pessoal diplomático, concentrados na Europa com uma presença secundária nos Estados Unidos. O dado isolado mais claro do relatório está datado: entre 6 e 13 de agosto de 2026, a UNC7005 enviou emails de phishing a pessoas dentro ou ligadas à indústria de defesa europeia, usando um domínio que falsifica um centro de operações finlandês. A UNC5976 inclina-se mais para o militar e industrial, com uma orientação geográfica centrada na Ucrânia e na Arménia.
| Cluster | Primeira identificação | Técnica principal | Principais alvos |
|---|---|---|---|
| UNC6293 | Junho de 2025 | Phishing por palavra-passe de aplicação e OAuth | Meio académico, think tanks, diplomatas (Europa, EUA) |
| UNC7005 (Storm-2945) | Fevereiro de 2026 | Phishing por código de dispositivo, associação de dispositivos WhatsApp | Indústria de defesa europeia, Ucrânia, pessoal próximo da NATO |
| UNC5976 | Março de 2026 | Phishing OAuth através de domínios falsos de partilha de ficheiros | Militar, aeroespacial, base industrial de defesa (Ucrânia, Arménia) |
Porque é que o vosso software de segurança não consegue detetar isto?
Porque não há nada para detetar no momento do comprometimento. Um sistema de deteção de intrusão procura código de exploração, uma hash de ficheiro malicioso conhecida ou tráfego para um endereço assinalado; nada disso existe quando todo o ataque consiste numa pessoa real a clicar num ecrã de login real e a entregar um token que a própria Google ou Microsoft considera válido. O malware infostealer que a Google documenta mais adiante na cadeia, o VIDAR no Windows e o ATOMIC no macOS, só chega depois de a conta já estar comprometida, o que significa que o antivírus, na melhor das hipóteses, apanha apenas a segunda metade do ataque.
Esta é a parte genuinamente nova para uma empresa que gastou o seu orçamento de segurança em ferramentas de endpoint e gestão de patches: o ponto de entrada aqui é uma lacuna de permissões e de sensibilização, não técnica. Um portátil totalmente atualizado com antivírus atual não oferece qualquer resistência a um colega que aprova um pedido de associação de dispositivo que não iniciou.
O que deve um proprietário fazer concretamente esta semana?
Comecem pela consola de administração, não pelo apoio técnico. No Google Workspace e no Microsoft 365, revejam que aplicações de terceiros e concessões OAuth foram aprovadas pelo vosso pessoal de maior risco, qualquer pessoa em funções ligadas ao governo, à defesa ou à investigação académica, e revoguem tudo o que não reconhecerem. Onde a vossa organização não precisar do fluxo de início de sessão por código de dispositivo da Microsoft para uso legítimo, como iniciar sessão numa aplicação de smart TV, desativem-no por completo; é exatamente o mecanismo que a UNC7005 explora.
Além disso, digam às pessoas concretas nessas funções, pelo nome, para nunca aprovarem um pedido de associação de dispositivo do WhatsApp nem partilharem um código de verificação que não tenham gerado elas próprias, e para verificarem esta semana a sua própria lista de dispositivos associados no WhatsApp em busca de algo desconhecido. Nada disto custa dinheiro. Tudo isto fecha a porta real que estes três grupos estão a usar.
Leia a seguir: A Binance saiu da Rússia. A caixa de compliance, não. | O MCP tirou as sessões e mudou a sua fatura de inferência
