Negli ultimi mesi sono state osservate campagne di cyber spionaggio che puntano a prendere il controllo di account personali sfruttando flussi di autenticazione legittimi. Il punto critico non è una vulnerabilità tecnica classica, ma l’abuso di funzioni reali come Google OAuth, i codici di verifica e il collegamento dispositivi di WhatsApp, combinati con phishing mirato e ingegneria sociale.
I bersagli includono profili in ambito accademico, governi, think tank, aerospazio e difesa, con focus su Europa e Stati Uniti.
Phishing basato su OAuth
Un primo schema riguarda il phishing basato su OAuth. La vittima viene indirizzata a una pagina che sembra offrire un servizio credibile, ad esempio una finta condivisione file. Dopo pochi secondi compare un pop-up con il pulsante Continue with Google. Il click porta davvero alla pagina ufficiale di login Google OAuth, aumentando la fiducia e riducendo i sospetti.
Dopo la corretta autenticazione, il flusso reindirizza verso un URL collegato a un progetto cloud controllato dagli attaccanti, dove script malevoli possono estrarre token di autenticazione presenti nell’indirizzo o nella sessione e conservarli per l’uso successivo. In alcuni casi gli attaccanti chiedono esplicitamente alla vittima di condividere un codice di verifica o l’intero URL finale, trasformando un login valido in un accesso non autorizzato.
Compromissione WhatsApp tramite collegamento dispositivo
Un secondo schema prende di mira WhatsApp attraverso il collegamento di un dispositivo aggiuntivo. La pagina di phishing chiede il numero di telefono e avvia una richiesta reale di device linking verso un dispositivo controllato dall’attaccante, mostrando alla vittima QR e codice di collegamento con istruzioni per completare la procedura.
Se il collegamento va a buon fine, l’account viene di fatto agganciato all’ambiente dell’attaccante. A quel punto possono seguire ulteriori passaggi di compromissione, come inviti a partecipare a una chiamata sicura o ad aprire una chat cifrata. Alcune varianti usano script per avviare registrazioni audio e video e inviarle a un server di comando e controllo.
Evoluzioni e infrastrutture
Sono state inoltre documentate evoluzioni che includono infostealer per Windows e macOS e l’uso di infrastrutture cloud e domini registrati ad hoc per rendere le campagne scalabili ma difficili da distinguere dal traffico legittimo.