Hackers russos exploram Google OAuth e WhatsApp para sequestrar contas
A segurança de contas digitais enfrenta uma nova modalidade de ameaça: em vez de explorar diretamente uma vulnerabilidade no aplicativo, grupos de espionagem estão abusando de recursos legítimos de autenticação para enganar usuários e obter acesso às suas contas.
Segundo o Google Threat Intelligence Group (GTIG), três grupos suspeitos de possuir ligação com a Rússia — UNC6293, UNC7005 e UNC5976 — realizaram campanhas direcionadas contra pessoas ligadas à academia, defesa, setor aeroespacial, governos, diplomacia e organizações de pesquisa na Europa e nos Estados Unidos.
Como ocorre o ataque
Um dos principais métodos utiliza phishing associado ao Google OAuth, mecanismo que permite autenticar-se em serviços utilizando uma conta Google. O diferencial está na aparência legítima da operação: o usuário pode ser direcionado para a verdadeira página de login do Google, realizar a autenticação normalmente e, posteriormente, ser encaminhado para uma infraestrutura controlada pelo atacante.
Em determinadas campanhas, o objetivo é obter tokens de autenticação, que podem permitir ao criminoso acessar a conta sem necessariamente conhecer a senha da vítima. O grupo UNC5976, por exemplo, criou páginas falsas de compartilhamento de arquivos e utilizou projetos em nuvem para coletar tokens após a autenticação.
Outro vetor envolve o WhatsApp, utilizando sua própria função legítima de vinculação de dispositivos. Os criminosos apresentam páginas que simulam convites para chamadas, chats ou compartilhamento de documentos. A vítima é induzida a fornecer seu número e seguir instruções para vincular um dispositivo controlado pelo atacante. Quando o procedimento é concluído, o criminoso pode obter acesso à conta por meio do dispositivo vinculado.
O fator humano continua sendo decisivo
O aspecto mais preocupante dessas campanhas é o uso de engenharia social altamente direcionada. Os criminosos não precisam necessariamente convencer a vítima a instalar um malware. Em muitos casos, basta criar uma situação aparentemente legítima: um convite para uma conferência, uma reunião diplomática, um arquivo compartilhado ou uma chamada privada.
Esse modelo torna a identificação mais difícil porque a vítima pode estar realmente interagindo com serviços legítimos durante parte do processo. O ataque ocorre justamente na utilização indevida desses mecanismos de confiança.
Riscos para usuários e organizações
Uma conta comprometida pode representar muito mais do que a perda do acesso ao e-mail ou WhatsApp. O atacante pode utilizar a identidade roubada para obter informações confidenciais, acessar outras plataformas, realizar novas campanhas de phishing contra contatos conhecidos e ampliar o comprometimento.
Para organizações, o risco é ainda maior quando funcionários utilizam contas pessoais para comunicação profissional. O Google destaca que essas operações criam uma importante lacuna de visibilidade, pois contas pessoais podem não estar submetidas aos mesmos controles de monitoramento existentes nos ambientes corporativos.
Medidas de proteção
Usuários e empresas devem adotar algumas práticas básicas:
- Não compartilhar códigos de autenticação, senhas de aplicativos ou links de autenticação recebidos durante um contato inesperado.
- Verificar cuidadosamente o endereço do site antes de realizar um login.
- Evitar escanear QR Codes enviados por desconhecidos ou apresentados em páginas não verificadas.
- Revisar periodicamente os dispositivos vinculados ao WhatsApp e remover aqueles que não forem reconhecidos.
- Ativar autenticação multifator e utilizar métodos de autenticação resistentes a phishing quando disponíveis.
- Organizações devem monitorar autenticações anômalas, concessões de OAuth e novos dispositivos associados às contas.
- Convites para reuniões, eventos ou compartilhamento de arquivos devem ser confirmados por outro canal independente quando houver qualquer dúvida.
O próprio Google recomenda verificar a URL antes de inserir credenciais, confirmar convites diretamente com os organizadores e não compartilhar senhas de aplicativos. Para usuários de alto risco, também recomenda mecanismos de proteção reforçada, como o Advanced Protection Program.
Conclusão
As campanhas atribuídas a grupos russos demonstram uma mudança importante no cenário de ameaças: o atacante não precisa quebrar a autenticação quando consegue convencer o próprio usuário a utilizá-la em seu benefício.
O abuso de OAuth, códigos de autenticação e vinculação de dispositivos mostra que recursos projetados para facilitar a experiência do usuário também podem ser transformados em ferramentas de ataque quando combinados com engenharia social.
Para empresas e usuários, a principal defesa é combinar tecnologia com comportamento seguro. Autenticação multifator, monitoramento de contas e controle de dispositivos são importantes, mas devem ser acompanhados de uma postura crítica diante de links, QR Codes, convites e solicitações inesperadas. Em segurança cibernética, uma autenticação legítima também pode fazer parte de um ataque quando a decisão de confiar é manipulada pelo criminoso.
Referências bibliográficas
- Google Threat Intelligence Group (GTIG). “Going with the Flow(s): Distinct Clusters Target Individuals of Interest to Russia”. 20 ago. 2026. O relatório apresenta a análise dos grupos UNC6293, UNC7005 e UNC5976 e suas técnicas de phishing, OAuth e vinculação de dispositivos.
Acessar o relatório do Google Threat Intelligence Group - The Hacker News. “Suspected Russian Hackers Abuse Google OAuth and WhatsApp Linking to Hijack Accounts”. 20 ago. 2026. A publicação apresenta uma síntese das campanhas e dos métodos empregados pelos grupos suspeitos de espionagem.
Acessar a publicação do The Hacker News
