CERT-EU opisał sierpniową kampanię przypisywaną podejrzewanej o związki z Rosją grupie UNC7005. Celem były osoby związane z europejskim przemysłem obronnym. Atakujący podszywali się pod Finnish Operations Center i kierowali odbiorców na kontrolowaną przez siebie stronę. Najciekawszy element pojawiał się dopiero później: przycisk „Sign in With Google” przenosił ofiarę do prawdziwego procesu logowania Google OAuth.
Jak działał OAuth phishing na europejski przemysł obronny?
Według Cyber Brief CERT-EU za sierpień 2026 grupa UNC7005 zarejestrowała domeny imitujące Finnish Operations Center, organizację wspierającą fińskie firmy działające na rynku obronnym i bezpieczeństwa. Między 6 a 13 sierpnia wysyłano ukierunkowane wiadomości do osób związanych z europejskim sektorem obronnym.
Po kliknięciu logowania użytkownik trafiał na prawdziwą stronę Google OAuth. Po poprawnym uwierzytelnieniu był jednak przekierowywany do niezweryfikowanego projektu chmurowego kontrolowanego przez atakującego. Celem było zdobycie tokenów pozwalających uzyskać dostęp do konta.
Dlaczego prawdziwy ekran logowania nie oznacza bezpieczeństwa?
W tym scenariuszu użytkownik nie musi wpisywać hasła na stronie należącej do przestępcy. Sam ekran uwierzytelniania może być prawdziwy. Ryzyko pojawia się przy tym, komu i do czego użytkownik udziela dostępu po zalogowaniu. To dokładnie ten przypadek, w którym sprawdzanie samej domeny ekranu logowania nie wystarcza.
Jak ograniczyć ryzyko podobnego ataku?
Trzeba zwracać uwagę na nazwę aplikacji, wydawcę oraz zakres uprawnień, o które prosi mechanizm OAuth. Niespodziewane zaproszenie do współpracy, konferencji lub udostępnionego zasobu powinno być weryfikowane niezależnie od linku z wiadomości. Warto też przejrzeć poradnik OAuth2 w poczcie e-mail, bo ten typ ataku wykorzystuje legalny mechanizm autoryzacji zamiast klasycznej fałszywej strony logowania.