Tres grupos vinculados al ciberespionaje ruso están utilizando funciones legítimas de Google, Microsoft y WhatsApp para atacar a diplomáticos, investigadores, académicos y profesionales de la industria europea de defensa. Las campañas demuestran un cambio preocupante: el atacante ya no necesita falsificar todo el proceso de acceso, sino convencer a la víctima para que complete por sí misma una autenticación legítima.
El ciberespionaje ruso está perfeccionando sus métodos para infiltrarse en cuentas personales y corporativas mediante una estrategia especialmente difícil de detectar: abusar de los propios mecanismos legítimos de autenticación de Google, Microsoft y WhatsApp.
Según una investigación de Google Threat Intelligence Group (GTIG) recogida por The Hacker News, tres grupos identificados como UNC6293, UNC7005 y UNC5976 han desarrollado campañas de phishing dirigidas contra objetivos de alto interés estratégico en Europa y Estados Unidos. Entre ellos aparecen profesionales relacionados con gobiernos, diplomacia, universidades, centros de investigación, industria aeroespacial y defensa.
La amenaza resulta especialmente relevante para Europa. Entre el 6 y el 13 de agosto de 2026, UNC7005 habría enviado correos fraudulentos contra objetivos pertenecientes o relacionados con la industria europea de defensa, utilizando dominios que imitaban organizaciones legítimas.
Google OAuth, convertido en una puerta para el ciberespionaje ruso
Una de las claves de estas campañas está en OAuth, el protocolo que permite iniciar sesión en numerosos servicios utilizando una cuenta existente.
El engaño resulta sofisticado porque una parte del proceso puede desarrollarse en una página legítima de autenticación de Google. Esto reduce las señales de alarma que tradicionalmente permitían identificar una página falsa diseñada únicamente para robar una contraseña.
En junio de 2026, Google detectó una campaña en la que los atacantes solicitaban a las víctimas que compartieran la URL completa o el código de verificación obtenido después de identificarse legítimamente ante un proveedor externo.
Cuando la víctima entregaba esa información, los atacantes podían utilizarla para acceder a su cuenta.
La técnica refleja una evolución fundamental del phishing: el objetivo puede dejar de ser la contraseña y pasar a ser el token, código o autorización que demuestra que el usuario ya ha superado la autenticación.
UNC5976 creó dominios para simular servicios de intercambio de archivos
El grupo denominado UNC5976, activo al menos desde marzo de 2026 según la investigación, habría utilizado técnicas de phishing OAuth combinadas con infraestructura en la nube.
El procedimiento comenzaba con la adquisición de dominios relacionados aparentemente con servicios para compartir archivos.
En ellos se alojaba una página fraudulenta. Después de permanecer unos segundos en ella, la víctima encontraba un cuadro de diálogo para identificarse.
El botón «Continuar con Google» podía conducirla hasta el auténtico sistema de inicio de sesión de Google OAuth. Una vez completada la autenticación, el usuario era redirigido hacia infraestructura controlada por los atacantes, preparada para obtener el token de autenticación y almacenarlo.
Google estima que este actor creó al menos 12 dominios y su correspondiente infraestructura desde marzo de 2026. Posteriormente fueron bloqueados por la compañía.
WhatsApp también está en el punto de mira
El caso de UNC7005, también denominado Storm-2945, muestra hasta dónde puede llegar esta estrategia.
Google identificó al actor en febrero de 2026 y señala que sus principales objetivos se han localizado entre personal académico, diplomático y de organizaciones sin ánimo de lucro de Ucrania, Europa Occidental y Estados Unidos.
Durante mayo y junio, los atacantes desarrollaron operaciones de ingeniería social suplantando a WhatsApp.
El objetivo era conseguir que la propia víctima vinculara su cuenta con un dispositivo controlado por los atacantes.
El código QR puede ser auténtico y seguir formando parte del ataque
Esta técnica tiene una particularidad peligrosa: el código de vinculación puede ser legítimo.
Según la investigación, la víctima accedía a una página preparada por los atacantes y proporcionaba su número de teléfono. Con esa información se generaba una solicitud real para vincular WhatsApp con el dispositivo del atacante.
A continuación se mostraban un código QR legítimo y un código de vinculación, acompañados de instrucciones destinadas a convencer al usuario para completar el proceso.
Si la víctima seguía las indicaciones, podía terminar autorizando el dispositivo del ciberdelincuente.
Esta táctica representa una advertencia importante: que una ventana de autenticación, un QR o una página de acceso sean auténticos no significa necesariamente que la operación que estamos autorizando sea segura.
Falsas llamadas seguras y chats cifrados
El engaño no terminaba necesariamente con la vinculación de WhatsApp.
Una vez conseguido el acceso, la página fraudulenta podía ofrecer a la víctima la posibilidad de participar en una supuesta llamada de voz, un chat cifrado o una descarga de archivos.
En el escenario de la llamada, el código JavaScript podía grabar audio y vídeo y enviar posteriormente la grabación a infraestructura de mando y control (C2).
En el supuesto del chat cifrado, se pedía al usuario que copiara unas credenciales y accediera a una segunda dirección.
El documento analizado señala que se desconoce la naturaleza exacta de la descarga de archivos ofrecida dentro de esta operación.
Académicos, diplomáticos y expertos en Rusia entre los objetivos
UNC7005 también habría utilizado programas dedicados al robo de información, entre ellos Vidar y Atomic —también conocido como AMOS—, para atacar ordenadores Windows y macOS.
Entre los objetivos figuraban académicos, diplomáticos e investigadores estadounidenses especializados en Rusia y los antiguos Estados soviéticos.
Los correos electrónicos incluían enlaces maliciosos que conducían a una página diseñada para aparentar estar relacionada con una cumbre sobre una «resolución en apoyo de Ucrania». Allí se instaba al objetivo a descargar una aplicación complementaria.
El patrón deja clara la importancia de la ingeniería social: los atacantes adaptan el señuelo a los intereses profesionales y geopolíticos concretos de sus víctimas.
La industria europea de defensa entra en el objetivo
La investigación señala además que, a principios de agosto, UNC7005 comenzó nuevas operaciones contra cuentas mediante Google OAuth.
Desde el 31 de julio de 2026, el grupo registró dominios que imitaban al legítimo Centro de Operaciones Finlandés (FOC), una entidad vinculada al apoyo a compañías finlandesas en los mercados de defensa y seguridad, particularmente dentro del contexto de la OTAN.
Entre el 6 y el 13 de agosto, los atacantes distribuyeron correos de phishing dirigidos a personas pertenecientes o relacionadas con la industria de defensa europea.
Los usuarios podían terminar en una página legítima de Google OAuth y, tras identificarse, ser enviados a un proyecto en la nube no verificado y controlado por el atacante.
El objetivo final era nuevamente apoderarse de tokens de autenticación para secuestrar las cuentas.
WiFi de hoteles, aeropuertos y centros de conferencias
La ofensiva presenta otro frente particularmente inquietante para profesionales que viajan con frecuencia.
Una campaña denominada CaptiveCrunch ha sido relacionada con ataques contra portales WiFi cautivos utilizados en lugares como hoteles, aeropuertos y centros de conferencias.
El sistema consistía en obtener acceso administrativo a determinadas puertas de enlace WiFi y alterar la configuración para realizar envenenamiento DNS, redirigiendo determinadas conexiones hacia infraestructura controlada por los atacantes.
Microsoft sitúa este tipo de actividad desde principios de mayo de 2026.
Esto resulta especialmente sensible en entornos diplomáticos y empresariales: los hoteles, aeropuertos y grandes conferencias concentran a profesionales que trabajan temporalmente desde redes que no controlan.
Sospechas sobre una posible cadena de suministro
El seguimiento realizado por Lumen Black Lotus Labs introduce otra hipótesis: los atacantes podrían haber comprometido proveedores de servicios gestionados (MSP) y utilizado posteriormente la relación de confianza que mantienen con sus clientes.
Según esta línea de investigación, comprometer a un proveedor encargado de gestionar redes WiFi podría facilitar el acceso posterior a las infraestructuras de sus clientes y permitir manipular las peticiones DNS.
Los datos de telemetría analizados identificaron aproximadamente 70 direcciones IP de víctimas. De ellas, 40 realizaron solicitudes DNS hacia servidores C2 asociados con CaptiveCrunch, mientras otras 30 se comunicaron con infraestructura adversary-in-the-middle destinada a obtener tokens.
Conviene subrayar que se trata de direcciones IP identificadas en la telemetría analizada, no necesariamente de un recuento completo de todas las víctimas de las campañas.
Malware capaz de robar contraseñas, sesiones y credenciales WiFi
La operación tampoco se limita al robo de cuentas.
Los atacantes han utilizado falsas actualizaciones de navegador o sistema operativo para desplegar herramientas maliciosas como CornFlake RAT y ChocoShell.
CornFlake RAT, desarrollado sobre Go, puede realizar tareas de reconocimiento del sistema, recopilar archivos y pulsaciones de teclado, obtener credenciales y tokens de sesión y efectuar vigilancia mediante audio y vídeo, además de habilitar acceso remoto al equipo infectado.
ChocoShell, por su parte, está basado en PowerShell y está diseñado para sustraer información como cookies de sesión, contraseñas almacenadas, tokens SSO de Microsoft 365 y credenciales WiFi.
La investigación señala además que existen indicios de que este malware podría haber sido generado mediante un modelo de lenguaje de gran tamaño (LLM).
El nuevo peligro: engañar al usuario sin romper la autenticación
La principal lección de estas campañas es que los ciberdelincuentes están aprendiendo a convertir funciones legítimas de seguridad en parte del engaño.
En lugar de limitarse a construir una copia burda de Google, Microsoft o WhatsApp, pueden llevar al usuario hasta un proceso auténtico y conseguir después que autorice un dispositivo, entregue un código o permita el acceso mediante un token.
Para empresas, administraciones y usuarios, esto obliga a cambiar algunas reglas básicas de seguridad. No basta con comprobar que el dominio de inicio de sesión pertenece realmente a Google o Microsoft. También hay que verificar qué aplicación solicita el permiso, qué dispositivo se está vinculando, qué autorización se está concediendo y quién inició realmente el proceso.
Los códigos de verificación, enlaces OAuth, QR de vinculación y tokens deben tratarse como información sensible. Nunca deben enviarse a terceros simplemente porque alguien los solicite por correo electrónico, WhatsApp o durante una supuesta reunión segura.
En un escenario donde defensa, diplomacia, investigación y organizaciones vinculadas a Ucrania aparecen entre los objetivos, estas campañas muestran cómo la identidad digital se ha convertido en otro campo de disputa del espionaje internacional.
Chollones
Chollones
Chollones