Útočník nepotrebuje vaše heslo, ak vás presvedčí, aby ste mu sami otvorili inú cestu do účtu. Presne na tom stavajú tri skupiny, ktoré podľa Google Threat Intelligence Group s vysokou mierou istoty súvisia s Ruskom. UNC6293, UNC7005 a UNC5976 zneužívajú legitímne prihlasovacie mechanizmy Googlu, Microsoftu aj WhatsAppu namiesto toho, aby museli prelomiť heslo alebo chybu v programe.
Terč je pritom pomerne úzky. Kampane mieria najmä na ľudí z akademického prostredia, diplomacie, štátnej správy, analytických centier, neziskových organizácií a leteckého či obranného priemyslu. Google ich pozoroval v Európe a pri akademikoch a analytických centrách aj v USA. Nejde teda o masový útok na bežných používateľov, zaujímavý je však postup, pretože nestojí na chybe v programe ani na obyčajnom phishingu okolo veľkej témy.
Má to dokonca slovenskú stopu. UNC7005 v máji 2026 vytvorila podvodnú registračnú stránku napodobňujúcu konferenciu GLOBSEC. Obeť mala vyplniť pomerne podrobnú registráciu a následne údajne overiť svoju totožnosť. Výsledkom však bolo zobrazenie kódu, ktorým si používateľ v skutočnosti autorizoval prihlasovaciu reláciu pripravenú útočníkom.
Všetky tri skupiny totiž zneužívajú legitímne prihlasovacie postupy, teda funkcie, ktoré technicky fungujú tak, ako boli navrhnuté. Kampane UNC6293 bývajú zámerne malé a podľa Googlu zvyčajne mieria naraz na menej než päť ľudí. Útočníci sa pritom opakovane vydávali za pracovníkov amerického ministerstva zahraničia.
Jednou z ich ciest sú takzvané aplikačné heslá. Útočník presvedčí obeť, aby si v účte sama vytvorila špeciálne heslo pre aplikáciu a následne mu ho odovzdala. UNC6293 napríklad žiadala vytvoriť aplikačné heslo pomenované ms.state.gov. Takýto kód potom môže poslúžiť na prístup k účtu bez toho, aby útočník poznal bežné heslo a pri každom prihlásení absolvoval druhý faktor.
Podvodná stránka vám ukáže pravý kód z WhatsAppu
Najnázornejší je trik s WhatsAppom, ktorý skupina UNC7005 používala v máji a júni 2026. Podvodná stránka nahovorí obeť, aby si k účtu pripojila zariadenie útočníka, údajne preto, aby sa dostala k zabezpečenému hovoru, chatu alebo zdieľanému dokumentu. Útočník pritom nemusí prelomiť šifrovanie WhatsAppu ani nájsť bezpečnostnú chybu.
Stránka si vypýta telefónne číslo a útočník pomocou neho vytvorí regulárnu žiadosť o pripojenie svojho zariadenia. Obeti následne zobrazí skutočný QR kód alebo párovací kód WhatsAppu spolu s návodom, ako pripojenie dokončiť. Kto postup potvrdí vo svojom WhatsAppe, autorizuje cudzie zariadenie. To potom môže dostávať nové správy, pracovať s konverzáciami a podľa spôsobu synchronizácie získať aj časť nedávnej histórie.
Tým sa útok nemusí skončiť. Po úspešnom pripojení stránka ponúkne údajný hlasový hovor, šifrovaný chat alebo stiahnutie súboru. „Hovor“ je pritom falošný. Škodlivý JavaScript sa pokúsi získať prístup ku kamere a mikrofónu a po udelení príslušného povolenia môže nahrávať obraz aj zvuk, ktorý následne odošle útočníkovi. Pri možnosti šifrovaného chatu stránka zobrazí ďalšie prihlasovacie údaje a pošle používateľa na druhú prihlasovaciu stránku.
Prihlásenie prebehne na Googli, token skončí u útočníka
Podobnú myšlienku využíva aj krádež prístupu k účtom Google. Skupina UNC5976 kupovala domény s názvami pripomínajúcimi služby na zdieľanie súborov a vytvárala k nim cloudové projekty. Na falošnej stránke sa po chvíli zobrazilo tlačidlo na pokračovanie cez Google. To už obeť naozaj odviedlo na legitímnu prihlasovaciu stránku Googlu.
Práve tu je pointa. Používateľ sa môže autentifikovať priamo na skutočnej stránke Googlu, takže svoje heslo podvodníkovi vôbec neposiela. Po úspešnom prihlásení ho však OAuth postup presmeruje do cloudového projektu ovládaného útočníkom. Tam škodlivý skript získa autorizačný token, ktorý môže útočník neskôr použiť na prístup udelený danej aplikácii.
Google túto aktivitu sleduje od marca 2026. Za približne tri mesiace po prvom odhalení vytvorila UNC5976 najmenej dvanásť nových domén a súvisiacu infraštruktúru. Google škodlivé cloudové projekty vypol a kampane narušil, pričom podľa jeho pozorovania sa skupina následne začala presúvať k iným poskytovateľom cloudových služieb.
Rovnaká skupina útočí aj cez hotelové Wi-Fi
UNC7005 pritom Google priamo spája aj s kampaňou CaptiveCrunch. Microsoft tú istú aktivitu označuje ako Storm-2945 a považuje ju za operačnú podskupinu Midnight Blizzard, teda aktéra, ktorého americké a britské úrady pripisujú ruskej zahraničnej rozviedke SVR. Kampaň samostatne opísali aj ReliaQuest a Microsoft.
Útočníci získavajú kontrolu nad infraštruktúrou verejných sietí s prihlasovacím portálom, aké poznáte napríklad z hotelov a konferenčných centier. Následne manipulujú DNS a HTTP premávku, takže používateľa môžu po pripojení k Wi-Fi poslať cez vlastnú infraštruktúru. Microsoft takúto manipuláciu pozoruje od začiatku mája 2026, pričom stále vyšetruje, ako sa útočníci pôvodne dostali k jednotlivým captive portal sieťam.
Výsledkom môže byť podvodné prihlásenie cez Microsoft alebo falošná aktualizácia prehliadača či operačného systému. Microsoft v kampani našiel napríklad CornFlake, plnohodnotný vzdialený prístupový nástroj pre Windows, ktorý dokáže zbierať súbory a stlačené klávesy, kradnúť prihlasovacie údaje a tokeny relácií či po kompromitovaní zariadenia využívať mikrofón a kameru.
Druhým nástrojom je ChocoShell, infostealer spúšťaný cez PowerShell. Zameriava sa najmä na cookies prihlásených relácií, uložené heslá v prehliadačoch, prihlasovacie tokeny Microsoft 365 a uložené údaje k sieťam Wi-Fi. Microsoft navyše našiel v jeho kóde znaky naznačujúce, že pri jeho tvorbe mohla byť použitá generatívna AI.
Pre bežného používateľa z toho plynie jednoduché pravidlo. WhatsApp k cudziemu zariadeniu pripájajte iba vtedy, keď ste párovanie sami začali a viete, ktoré vlastné zariadenie pripájate. QR kód nie je automaticky nebezpečný, pretože rovnaký postup legitímne používa napríklad WhatsApp Web. Podozrivé je, ak vás cudzia stránka kvôli hovoru, dokumentu, hlasovaniu či konferencii núti otvoriť funkciu Prepojené zariadenia, naskenovať jej QR kód alebo zadať kód, ktorý vám predložila.
WhatsApp už proti podobným trikom zaviedol aj ďalšiu ochranu. Od roku 2026 môže pri podozrivej žiadosti o pripojenie zariadenia zobraziť varovanie s informáciou, odkiaľ požiadavka prichádza. Také upozornenie neignorujte. Oplatí sa tiež pravidelne otvoriť zoznam prepojených zariadení a neznáme relácie odhlásiť, podobne ako pri kontrole prístupov k ostatným účtom.
Na verejnej Wi-Fi zase neverte aktualizácii prehliadača, systému, ovládača ani bezpečnostného nástroja len preto, že sa objavila hneď po pripojení k sieti. Aktualizácie spúšťajte cez samotný operačný systém, prehliadač alebo oficiálnu aplikáciu. Pri citlivej práci je bezpečnejšie použiť vlastné mobilné pripojenie než neznámu hosťovskú sieť.
Súvisí s tým aj toto
Kto si chce prejsť účty poriadne, nájde v archíve návod, ako zistiť posledné prihlásenie v Messengeri a čo z toho vyčítate o cudzích prístupoch. Na to nadväzuje text o tom, ako zrušiť účet Google alebo Gmail, keď sa rozhodnete začať odznova.
Prakticky najbližšie k tejto správe má prehľad, ktoré značky podvodníci zneužívajú najviac, aj s postupom, ako sa brániť. Doplniť sa dá rozborom konkrétneho prípadu, keď mal e-mail o dočasne uzamknutom účte vylákať údaje z platobnej karty a ukázali sme, na čom sa taká správa dá odhaliť. Spoločným menovateľom je dôvera v postup alebo prihlasovacie okno, ktoré na prvý pohľad vyzerá dôveryhodne.
Z posledných dní ešte stojí za pozretie správa, že Windows schová položku Zobraziť ďalšie možnosti, hoci staré menu Microsoft neruší. Ďalej sme písali, že sa okná budú otvárať roztiahnuté samy. A do tretice sme prešli nastavenia súkromia v systéme, teda ktoré prepínače má zmysel vypnúť a pri ktorých si tým skôr ublížite.
