Minacce · 53 giorni fa
GTIG sta seguendo tre cluster russi sospetti che hanno spostato il focus dal phishing classico all'abuso di flussi di accesso reali. Due gruppi sono nuovi nella mappatura, e il quadro ora include app password, OAuth e redirect da captive portal, non solo la campagna UNC6293 vista l'anno scorso.
Il punto non è rubare sempre una password. È ottenere un varco duraturo attraverso una richiesta che sembra una normale autenticazione o autorizzazione su una schermata vera. Così l'accesso può restare valido anche dopo un reset della password, se restano attivi app password, grant OAuth o altri accessi già concessi.
Per chi usa Microsoft 365, Google Workspace o altre identità SaaS, il rischio si sposta sul piano di controllo dell'account, non solo sulla casella di posta. Questa è la parte che i playbook anti-phishing centrati sulla password tendono a perdere.
3 fonti che coprono questa storia
Russian snoops add OAuth abuse to targeted phishing campaigns
Don't click on that State Department meeting invite
Suspected Russian Hackers Abuse Google OAuth and WhatsApp Linking to Hijack Accounts
Three suspected Russian cyber espionage clusters abuse legitimate authentication flows to compromise personal accounts across Europe and the U.S.
Distinct Clusters Target Individuals of Interest to Russia | Google Cloud Blog
Distinct Russian clusters have been conducting phishing activity focused on Application Specific Passwords (ASP), OAuth flows, and malware delivery.
Part of the PlainSec briefing for 2026-08-21