APT29 Burlou Autenticação em Dois Fatores do Gmail em Ataques Sofisticados

Hackers patrocinados pelo Estado russo desenvolveram uma técnica preocupante para burlar uma das principais proteções de segurança de e-mails. O APT29, também conhecido como Cozy Bear e vinculado ao serviço de inteligência externa da Rússia (SVR), está conseguindo contornar a autenticação em dois fatores (2FA) do Google em ataques direcionados contra críticos políticos e acadêmicos.

A campanha sofisticada começa com e-mails de phishing cuidadosamente elaborados que se passam pelo Departamento de Estado dos EUA. As mensagens parecem legítimas para alvos que frequentemente interagem com entidades governamentais, como especialistas em política externa e jornalistas que cobrem assuntos internacionais. Os e-mails contêm links para páginas de login falsas que capturam tanto senhas quanto, crucialmente, cookies de sessão.

O que torna este ataque particularmente perigoso é sua capacidade de burlar as proteções tradicionais de 2FA. Em vez de apenas roubar credenciais, os sites maliciosos capturam os tokens de sessão ativa após a vítima completar a autenticação. Isso permite que os invasores sequestrem a sessão autenticada sem precisar do segundo fator.

Pesquisadores de segurança destacam que isso representa uma evolução significativa nas técnicas de roubo de credenciais. 'O roubo de cookies de sessão já existe, mas combiná-lo com engenharia social tão precisa contra alvos de alto valor mostra a contínua inovação do APT29', explica um analista de inteligência de ameaças familiarizado com a campanha.

Os alvos parecem ser principalmente indivíduos críticos das políticas do governo russo, particularmente aqueles com plataformas internacionais. As vítimas incluem acadêmicos de universidades ocidentais que estudam assuntos da Europa Oriental e jornalistas que cobrem atividades geopolíticas russas.

Recomendações de proteção:

1. Implemente autenticação multifator resistente a phishing como chaves de segurança FIDO2
2. Monitore atividades de login suspeitas, especialmente de IPs estrangeiros
3. Eduque usuários de alto risco sobre táticas avançadas de phishing
4. Considere soluções empresariais que analisem o comportamento de sessão

O Google foi notificado sobre os ataques, mas ainda não comentou sobre possíveis mudanças nos sistemas de autenticação do Gmail. O incidente destaca como até mesmo medidas robustas de segurança como 2FA podem ser contornadas por agentes estatais determinados com capacidades avançadas de engenharia social.