Google Threat Intelligence Group zveřejnila 20. srpna 2026 rozsáhlou analýzu tří odlišných skupin, které jsou s vysokou mírou jistoty spojovány s ruskou kybernetickou špionáží. Skupiny označované jako UNC6293, UNC7005 a UNC5976 nepoužívají klasický malware jako první krok útoku. Místo toho zneužívají legitimní přihlašovací mechanismy Google, Microsoftu a WhatsAppu, což ztěžuje rozpoznání útoku i zkušeným uživatelům.
Proč je zneužití legitimních přihlašovacích toků nebezpečné
Klasický phishing spoléhá na podvodnou stránku, která napodobuje přihlašovací obrazovku. Oběť pak zadá jméno a heslo přímo útočníkovi. Tento přístup je jiný. Cíl je přesměrován na skutečnou přihlašovací stránku Google nebo Microsoftu, přihlásí se svými pravými údaji a teprve poté dojde ke zneužití autorizace nebo tokenu, který vznikne. Uživatel tak vidí ve svém prohlížeči důvěryhodnou doménu a skutečné přihlašovací okno, což výrazně snižuje šanci, že útok rozpozná.
Terčem byli převážně lidé z akademické sféry, diplomacie, obranného průmyslu, leteckého a kosmického sektoru a neziskových organizací v Evropě a USA. Metody popsané níže se ale postupně přesouvají i do útoků mířených na běžné firmy a jednotlivce, proto stojí za pozornost i mimo diplomatické kruhy.
Zneužití aplikačních hesel jako první vstupní bod
Skupina UNC6293, kterou GTIG s mírnou jistotou přiřazuje ke skupině Ice Relic (dříve známé jako APT29 nebo Cozy Bear), dlouhodobě zneužívá takzvaná aplikační hesla Google účtu. Jde o funkci určenou pro starší aplikace a zařízení, která neumí zpracovat dvoufaktorové ověření. Útočníci přesvědčí oběť, aby si takové heslo vytvořila a následně jim ho předala, čímž obejdou dvoufaktorové ověření úplně.
Aktuální kampaně se odehrávají pod záminkou diplomatických pozvánek nebo konferencí a bývají cílené na méně než pět osob najednou. Google doporučuje aplikační hesla nepoužívat vůbec, pokud to není nezbytně nutné, a existující nevyužívaná hesla ze svého účtu odstranit.
OAuth přihlášení přes cloudové projekty
Druhá popsaná skupina, UNC5976, staví kampaně na falešných stránkách pro sdílení souborů. Po několika sekundách na stránce se zobrazí vyskakovací okno s tlačítkem pro přihlášení přes Google účet. Kliknutí přesměruje oběť na skutečnou přihlašovací stránku Google, a jakmile se přihlásí, je následně poslána na cloudový projekt útočníka, který si z URL adresy uloží přístupový token.
Za tři měsíce od prvního zachycení této aktivity vytvořila skupina nejméně dvanáct nových domén, než Google infrastrukturu narušil. Skupina navíc distribuovala škodlivý doplněk pro Excel s krycím názvem HEADRUSH, který dále stahoval škodlivý HTA soubor.
Podobnou techniku, tedy OAuth phishing přes vlastní cloudový projekt, začala v srpnu 2026 používat i třetí skupina, UNC7005 (známá také jako Storm-2945). Ta si zaregistrovala domény napodobující finský Operations Center spojený s obranným sektorem NATO a cílila na osoby z evropského obranného průmyslu.
Propojení zařízení u WhatsAppu jako nový vektor útoku
Zajímavou a méně obvyklou technikou je zneužití funkce pro propojení zařízení ve WhatsAppu. Oběť je vyzvána k zadání telefonního čísla pod záminkou účasti na zabezpečeném hovoru, chatu nebo sdílení dokumentu. Toto číslo útočník použije k vytvoření skutečného požadavku na propojení zařízení, a obětí se zobrazí pravý QR kód a propojovací kód WhatsAppu s instrukcemi k naskenování.
Jakmile je zařízení propojeno, stránka nabídne hlasový hovor, šifrovaný chat nebo stažení souboru. Pokud oběť zvolí hovor, spustí se v pozadí JavaScript, který přes prohlížeč nahrává zvuk a video a odešle je na server útočníka ve chvíli, kdy hovor údajně selže. Oběť tak nemá žádný signál, že k nahrávání vůbec došlo.
Infostealery a útoky na hotelové Wi-Fi sítě
Skupina UNC7005 se neomezuje jen na zneužívání přihlašovacích toků. V širší kampani rozesílala odkazy vedoucí na falešný web s tématem podpory Ukrajiny, který podle operačního systému oběti nabídl ke stažení infostealer VIDAR pro Windows nebo ATOMIC pro macOS. Oba nástroje cílí na hesla, platební údaje a cookies uložené v prohlížeči.
Souvisejícím zjištěním je kampaň CaptiveCrunch, kterou popsaly společnosti ReliaQuest a Microsoft. Útočníci získali přístup ke správě Wi-Fi bran v hotelích, konferenčních centrech a na letištích a pomocí DNS poisoningu přesměrovávali cestující na podvodné přihlašovací stránky nebo jim servírovali malware maskovaný jako aktualizace prohlížeče či operačního systému. Škodlivý kód přitom podle Microsoftu nesl znaky generování pomocí jazykového modelu, což naznačuje rostoucí využití AI nástrojů i na straně útočníků.
Jak se bránit
Doporučení Google i dalších bezpečnostních týmů lze shrnout do několika bodů platných pro firmy i jednotlivce:
- Nepoužívat aplikační hesla, pokud to není nezbytné, a existující nevyužitá hesla z účtu odstranit.
- Před zadáním přihlašovacích údajů vždy zkontrolovat doménu v adresním řádku prohlížeče.
- Legitimitu pozvánky nebo žádosti ověřit přímo u organizace, a to jiným komunikačním kanálem než tím, ze kterého zpráva přišla.
- Nikdy nesdílet ověřovací kód ani plnou URL adresu vzniklou po přihlášení s žádnou třetí stranou.
- U WhatsAppu pravidelně kontrolovat seznam propojených zařízení a zapnout dvoufaktorové ověření registrace.
- Ohrožení uživatelé, například lidé pracující s citlivými daty nebo ve vedení firmy, by měli zvážit zapojení do programu pokročilé ochrany Google (Advanced Protection Program).
Tento typ útoků ukazuje trend, který bude v následujících měsících pravděpodobně sílit i mimo diplomatické a vládní cíle. Zneužívání legitimních přihlašovacích mechanismů totiž funguje dobře i proti firmám střední velikosti, kde bývá bezpečnostní povědomí zaměstnanců nižší než u citlivých vládních rezortů. Základní obezřetnost při přihlašování a ověřování žádostí tak zůstává jednou z nejúčinnějších obran.
Zdroje:
- https://cloud.google.com/blog/topics/threat-intelligence/distinct-clusters-target-individuals-of-interest-to-russia
- https://thehackernews.com/2026/08/suspected-russian-hackers-abuse-google.html
- https://reliaquest.com/blog/threat-spotlight-dns-poisoning-tactics-expand-to-hospitality/
- https://www.microsoft.com/en-us/security/blog/2026/07/31/captivecrunch-midnight-blizzard-targets-travelers-worldwide-for-malware-delivery-and-credential-theft/
