Invitații false la conferințe, conturi Google compromise de-a binelea: campania UAT-11985

O operațiune de spear-phishing îndreptată spre persoane legate de instituții de cercetare și de politici publice din Taiwan folosește invitații la evenimente foarte credibile ca să fure parolele de Google și codurile MFA care ar trebui să le protejeze. Cisco Talos urmărește actorul sub numele UAT-11985 și consideră că este un grup APT care folosește probabil AI ca să genereze mesajele-capcană în volum mare. Campania a fost observată pentru prima dată la mijlocul lui 2026.

Ce s-a întâmplat

Momeala este o invitație la un eveniment academic sau de politici publice care pare real: un forum, o masă rotundă, un briefing. E-mailurile urmează același șablon în trei părți:

o descriere lungă și elaborată a contextului geopolitic sau de politici publice;
o secțiune personalizată, care îl flatează pe destinatar;
detaliile evenimentului (temă, dată, locație) și un link de „înscriere”.

Expeditorii se dau drept instituții reale din Taiwan, printre care Taiwan European Union Centre, NCCU Institute of International Relations și Taiwan Research Institute. Talos a observat că mesaje pe teme foarte diferite au o structură și o formulare aproape identice. Asta indică un singur șablon de prompt refolosit, nu e-mailuri scrise de mână, iar atacatorul poate produce rapid multe momeli personalizate.

În unele cazuri, atacatorul a luat afișe reale de evenimente și a înlocuit codul QR cu unul malițios. Astfel, atacul ajunge dincolo de inbox, la oricine vede afișul tipărit sau redistribuit.

Cum este preluat contul

Când treci cu mouse-ul peste linkul de înscriere, acesta pare un URL de Google Forms, dar de fapt duce pe infrastructura atacatorului. Pagina imită un formular Google, apoi afișează o fereastră „conectează-te cu Google pentru a continua”. Fereastra este un proxy adversary-in-the-middle (AitM):

Un JavaScript ofuscat colectează date despre browser (limbă, user agent, dimensiunea ecranului, dacă e dispozitiv mobil) și deschide o sesiune cu serverul atacatorului.
Fiecare identificator, parolă și răspuns la verificare introdus de victimă este trimis în timp real către serviciul real de autentificare Google. Datele circulă prin cereri HTTP, iar un canal WebSocket ține pagina falsă sincronizată cu starea reală a autentificării Google.
Când Google cere MFA, operatorul alege ce verificare să afișeze: cod SMS, TOTP, notificare pe telefon, cod de rezervă, passkey sau e-mail de recuperare.
După ce victima trece de verificare, Google emite un cookie de sesiune pe care îl primește atacatorul. Victima vede o pagină „cont conectat” și crede că totul a funcționat.

Paginile de login false acceptă doar chineza simplificată, chineza tradițională și engleza și aleg limba după setările browserului. Acest lucru se potrivește cu țintirea utilizatorilor vorbitori de chineză. Talos nu a atribuit public activitatea unui anumit stat și nici noi nu o facem.

De ce contează

Codurile unice nu opresc atacurile AitM. SMS-ul, TOTP-ul și aprobările push sunt transmise în timp real, așa că atacatorul obține o sesiune validă, nu doar o parolă.
Mesajele generate cu AI au mai puține semne de avertizare. Invitațiile personalizate, bine scrise și fără greșeli elimină multe dintre indiciile pe care oamenii sunt învățați să le observe.
Codurile QR ocolesc protecțiile de e-mail. Un cod de pe un afiș sau dintr-un PDF scapă de scanarea linkurilor și de obicei este deschis pe telefon, unde URL-ul se verifică mai greu.
Cercetătorii, think-tank-urile și mediul academic sunt ținte valoroase. Căsuțele de e-mail și drive-urile lor conțin contacte, ciorne și discuții de politici publice utile pentru spionaj.

Ce e de făcut

Treceți utilizatorii cu risc ridicat pe MFA rezistent la phishing. Cheile de securitate FIDO2 și passkey-urile sunt legate de domeniul real și nu pot fi retransmise printr-un proxy AitM. Pentru Google Workspace, luați în calcul Advanced Protection Program pentru conducere, cercetători și oricine lucrează cu parteneri externi.
Tratați ca semnal de alarmă cererile neașteptate de autentificare din formulare. Un formular Google real rareori vă cere să vă conectați din nou printr-o fereastră pop-up. Închideți-o și mergeți direct pe site-ul oficial al organizatorului.
Verificați invitațiile pe alt canal. Confirmați evenimentul cu instituția menționată folosind un contact pe care îl aveți deja, nu datele din e-mail.
Nu scanați fără verificare codurile QR de pe materialele evenimentelor. Vedeți URL-ul înainte să-l deschideți și înscrieți-vă prin site-ul oficial al organizatorului.
Căutați semne de deturnare a sesiunilor. În Workspace, verificați jurnalele de autentificare pentru sesiuni noi de pe IP-uri sau ASN-uri neobișnuite apărute imediat după un MFA reușit, combinații necunoscute de dispozitiv și user agent, precum și autorizări OAuth sau reguli de redirecționare a e-mailurilor nou create.
Înăspriți controlul sesiunilor. Scurtați durata sesiunilor pentru rolurile sensibile, aplicați acces condiționat de context și, pentru orice cont care a interacționat cu un formular suspect, revocați toate sesiunile și resetați datele de autentificare.
Actualizați instruirea de conștientizare. Includeți în simulările de phishing invitații șlefuite cu AI și momeli de tip „Conectează-te cu Google pentru a continua” în formulare.

Pe baza cercetării publicate de Cisco Talos și relatate de The Hacker News (16 oct. 2026). Rezumat și analiză: echipa 4Tify.