Grupa UNC1151/Ghostwriter, znana z cyberataków na polskich użytkowników, rozszerzyła swoją działalność na pocztę Gmail. Od marca 2026 roku prowadzi intensywne kampanie phishingowe, których celem jest przejmowanie kont e-mail. CERT Polska ostrzega przed nowymi metodami, w tym wyłudzaniem kodów dwuskładnikowych.
Jak działa atak?
Atakujący wysyłają fałszywe wiadomości, które imitują oficjalne alerty od administratorów Gmaila. Wiadomości są po polsku i informują o podejrzanej aktywności, nieautoryzowanym logowaniu lub naruszeniu regulaminu. Ofiary są nakłaniane do kliknięcia w link, który prowadzi do spreparowanej strony logowania. Strona ta wyłudza adres e-mail i hasło, a następnie prosi o podanie kodu dwuskładnikowego, co pozwala atakującym na pełne przejęcie konta.
Kto jest celem?
Grupa atakuje osoby zaangażowane w życie polityczne, społeczne, naukowców, dziennikarzy, pracowników administracji publicznej i służb mundurowych. Często wysyłają wiadomości na przypadkowe adresy, gdy próbują odgadnąć adresy e-mail. Kampanie bywają też ukierunkowane na konkretne regiony lub zawody, np. tłumaczy czy biegłych sądowych.
Infrastruktura i techniki
UNC1151 używa dedykowanych domen (np. .icu, .digital, .top), subdomen w serwisie Netlify oraz przejętych stron internetowych. Fałszywe panele logowania są hostowane na tych stronach, często bez podmiany strony głównej, co utrudnia wykrycie. Atakujący dynamicznie zmieniają infrastrukturę, co utrudnia blokowanie.
Jak się chronić?
Eksperci zalecają ostrożność przy klikaniu w linki w wiadomościach e-mail, sprawdzanie adresu URL oraz włączanie uwierzytelniania dwuskładnikowego. Ważne jest również zgłaszanie podejrzanych stron do CERT Polska przez formularz na incydent.cert.pl. Świadomość zagrożenia jest kluczowa, ponieważ ataki będą prawdopodobnie kontynuowane i udoskonalane.
Źródło: Policja Prudnik
