IN SINTESI
La truffa sfrutta accessi veri, non falle nei servizi
3 gruppi monitorati
WhatsApp, Google, Microsoft
Obiettivo: spionaggio+
Una nuova campagna di spionaggio informatico mostra quanto gli attacchi possano diventare difficili da riconoscere. Secondo il Google Threat Intelligence Group, tre gruppi con presunti legami con la Russia stanno prendendo di mira persone e organizzazioni in Europa e negli Stati Uniti. :contentReference[oaicite:0]{index=0}
La particolarità è semplice: gli hacker non devono necessariamente scoprire la password e non hanno bisogno di trovare una falla in WhatsApp, Google o Microsoft. Cercano invece di convincere la vittima a compiere personalmente un'azione che autorizza l'accesso.
Come funziona la trappola
Gli aggressori contattano una persona fingendosi qualcuno di affidabile: per esempio un'organizzazione, un diplomatico, un collega oppure il responsabile di una conferenza.
Il messaggio può contenere un invito a una riunione, la richiesta di aprire un documento o l'accesso a una presunta area riservata.
A quel punto la vittima viene portata verso una procedura che può sembrare autentica. Ed è proprio questo il punto più pericoloso: alcuni passaggi sono realmente quelli utilizzati da Google, Microsoft o WhatsApp.
La tecnica usata contro WhatsApp
Tra maggio e giugno 2026 il gruppo denominato UNC7005 ha utilizzato false pagine WhatsApp. Alle vittime veniva proposto, per esempio, di partecipare a una chiamata sicura, entrare in una chat oppure ricevere un documento. :contentReference[oaicite:1]{index=1}
La pagina chiedeva il numero di telefono e avviava una vera procedura di collegamento di un nuovo dispositivo WhatsApp.
Il problema è che quel dispositivo apparteneva agli hacker. Se la vittima completava volontariamente il collegamento, gli aggressori riuscivano ad aggiungere il proprio dispositivo all'account e ad accedere alle comunicazioni disponibili attraverso quella sessione. :contentReference[oaicite:2]{index=2}
In alcuni casi Google ha osservato anche false chiamate web capaci di chiedere l'accesso a microfono e videocamera e registrare la vittima. :contentReference[oaicite:3]{index=3}
La falsa schermata “Accedi con Google”
Un'altra tecnica è stata utilizzata nell'agosto 2026 contro persone legate al settore europeo della difesa.
UNC7005 ha creato siti che imitavano il Finnish Operations Center, un'organizzazione che opera nel settore della difesa e della sicurezza. Tra il 6 e il 13 agosto sono state inviate email mirate con link verso queste pagine false. :contentReference[oaicite:4]{index=4}
Premendo pulsanti come “Sign in with Google”, la vittima arrivava inizialmente su una vera schermata di accesso Google. Dopo il login, però, veniva indirizzata verso un progetto cloud controllato dagli aggressori, che poteva essere utilizzato per sottrarre il token necessario ad accedere all'account. :contentReference[oaicite:5]{index=5}
Google ha osservato nello stesso periodo anche campagne che utilizzavano veri indirizzi di autenticazione Microsoft. È quindi possibile che una parte della procedura sembri completamente autentica. :contentReference[oaicite:6]{index=6}
I tre gruppi individuati
Perché questi attacchi sono difficili da riconoscere
Il vero problema è che molte persone sono abituate a pensare al phishing come a una pagina palesemente falsa che chiede username e password.
In questo caso può essere diverso. La vittima può vedere una vera pagina Google o Microsoft, oppure una vera richiesta di collegamento di WhatsApp.
La truffa si trova nel contesto: è stato l'aggressore a convincere la vittima ad avviare quella procedura e l'autorizzazione finale concede l'accesso proprio a lui.
Google afferma di avere un'alta confidenza sul fatto che UNC6293, UNC7005 e UNC5976 abbiano un nesso russo. I primi due sono inoltre considerati, con moderata confidenza, collegati a un sottogruppo di ICE RELIC. :contentReference[oaicite:10]{index=10}
Come proteggersi
- Controllare sempre l'indirizzo del sito prima di effettuare un accesso.
- Diffidare di inviti inattesi a conferenze, riunioni o condivisioni di documenti.
- Verificare la richiesta contattando direttamente la persona o l'organizzazione attraverso un altro canale.
- Non comunicare mai password temporanee, codici di verifica o app password.
- Controllare periodicamente i dispositivi e le sessioni collegate ai propri account.
- Per gli utenti maggiormente esposti, utilizzare sistemi di autenticazione resistenti al phishing, come le chiavi di sicurezza.
