La debolezza non è più solo il codice o la password. In questa campagna chi controlla i messaggi di supporto falsi può farsi consegnare il materiale di recupero che resta valido anche dopo un reset della password, e quindi rientrare nell’account senza ripartire da zero.
SSU e FBI attribuiscono l’operazione a intelligence russa e la descrivono come una campagna lunga, rivolta a funzionari, militari, politici e attivisti in Ucraina, Europa e Stati Uniti. Le vittime includono anche account personali; il vettore passa da SMS che imitano il supporto della piattaforma e punta a credenziali, recovery key e sessioni di app come Telegram e Signal. CERT-UA collega inoltre attività separate a UNC1151.
Il punto per chi difende è che il contenimento non coincide con il cambio password: se sono già stati presi recovery key o token di sessione, l’accesso può restare vivo su più dispositivi e in più paesi.