Una campagna di spear-phishing tracciata come UAT-11985 usa falsi inviti a eventi e pagine di accesso a Google contraffatte per impossessarsi degli account Google di persone affiliate a organizzazioni di ricerca di Taiwan.
L'attività è stata osservata per la prima volta a metà 2026, secondo il report di The Hacker News sui risultati di Cisco Talos. Gli attaccanti combinano materiale pubblico credibile legato a eventi con un proxy adversary-in-the-middle (AitM), progettato per catturare credenziali e richieste di autenticazione a più fattori mentre comunica con il servizio di autenticazione legittimo di Google.
Il report non quantifica i bersagli della campagna né stabilisce quanti account, se ce ne sono, siano stati compromessi con successo.
Gli inviti si spacciano per istituzioni taiwanesi di ricerca e politica
Le email si presentano come inviti a eventi di geopolitica o di politiche pubbliche. Le identità dei mittenti sono fabbricate per somigliare a tre istituzioni:
- Taiwan European Union Centre
- NCCU Institute of International Relations
- Taiwan Research Institute
Alcuni messaggi includono informazioni sull'evento autentiche o plausibili. Il link di registrazione incorporato porta a un'infrastruttura controllata dagli attaccanti, anche se Talos ha riferito che passandoci sopra con il mouse può mostrare un indirizzo che sembra un legittimo Google Forms.
Una parte della campagna usa il phishing con codici QR, spesso chiamato quishing. In questi casi, gli attaccanti prendono locandine autentiche da siti legittimi e sostituiscono il codice QR originale con uno che indirizza chi lo scansiona verso il sito malevolo. Talos ha avvertito che questa tecnica potrebbe raggiungere anche chi entra in contatto con copie stampate del materiale alterato, estendendo il rischio oltre i destinatari iniziali delle email.
Cisco Talos ritiene che l'IA abbia probabilmente contribuito alla produzione dei contenuti esca. Questa conclusione si basa su somiglianze strutturali tra messaggi che trattano temi geopolitici diversi, e non su un accesso confermato al processo di produzione degli attaccanti.
Secondo quanto riportato, le email seguono uno schema ricorrente in tre parti: un'ampia discussione del contesto politico dell'evento, complimenti personalizzati pensati per spingere il destinatario a rispondere e dettagli logistici come argomento, sede e procedura di registrazione. Talos ha interpretato i modelli narrativi e retorici ripetuti come prova di una campagna coordinata che usa un modello riutilizzabile.
Il proxy inoltra in tempo reale credenziali e richieste MFA
Dopo aver seguito il link di registrazione, il destinatario vede una pagina graficamente simile a un Google Form. Un pop-up chiede poi all'utente di autenticarsi con un account Google prima di completare il modulo.
La pagina successiva riproduce fedelmente il pannello di accesso di Google. Secondo l'analisi di Talos, un JavaScript offuscato raccoglie informazioni sul visitatore prima di aprire una connessione WebSocket, tra cui:
- Lingua e regione del browser
- User agent
- Dimensioni dello schermo
- Se il visitatore utilizza un dispositivo mobile
La pagina invia questo profilo al server di command-and-control tramite una richiesta denominata google_login_start.
Quando l'utente invia la password, la pagina effettua un'altra richiesta, google_login_check, che contiene la password, l'identificativo dell'account e lo user agent del browser. Il server C2 HTTP dell'attaccante inoltra i dati di autenticazione a Google, mentre la pagina malevola usa la connessione WebSocket per replicare le modifiche del processo di accesso legittimo.
Questo meccanismo permette alla vittima di vedere passaggi di autenticazione che sembrano comportarsi normalmente. Allo stesso tempo, gli attaccanti possono ricevere le credenziali e inoltrare le richieste MFA nel momento in cui vengono generate. Talos ha descritto l'obiettivo come l'ottenimento di materiale di autenticazione sufficiente per una presa di controllo completa dell'account, senza interrompere visibilmente il flusso di accesso.
Poiché l'attacco funziona come un relay in tempo reale, un codice MFA non è necessariamente una protezione se l'utente lo inserisce nel pannello contraffatto. Il codice può essere passato al servizio legittimo durante la stessa sessione.
Il supporto linguistico suggerisce un focus più ampio sui parlanti cinese
Le pagine contraffatte supportano il cinese semplificato (zh-CN), il cinese tradizionale (zh-TW) e l'inglese. Talos ha affermato che questo «suggerisce fortemente» un interesse per gli utenti sinofoni, ma le opzioni linguistiche indicano la portata prevista e non confermano l'identità o la posizione di ogni vittima.
Il targeting documentato resta concentrato su persone legate a organizzazioni di ricerca taiwanesi e interessate a temi di geopolitica o politiche pubbliche. Il marchio istituzionale, i complimenti personalizzati e gli eventi pubblici riconoscibili forniscono il contesto sociale pensato per far sembrare ordinaria una richiesta di autenticazione inattesa.
Come possono i destinatari ridurre il rischio
I destinatari dovrebbero considerare potenzialmente ostili le richieste di accesso ricevute tramite inviti a eventi non richiesti o codici QR, anche quando i dettagli dell'evento e la locandina sembrano autentici. Invece di autenticarsi tramite l'invito, gli utenti possono raggiungere l'istituzione o l'organizzatore dell'evento attraverso un indirizzo ottenuto separatamente e confermare lì la procedura di registrazione.
Particolare attenzione va prestata alla barra degli indirizzi effettiva del browser nel momento in cui vengono richieste credenziali o una verifica MFA. L'accuratezza visiva non è una prova che una pagina appartenga a Google, e la campagna è progettata proprio per riprodurre l'esperienza di autenticazione legittima.
Chiunque abbia inserito credenziali Google o una risposta MFA dopo aver aperto uno di questi inviti deve segnalarlo tempestivamente al responsabile della sicurezza o all'amministratore dell'account. Gli amministratori possono quindi verificare l'attività dell'account e le sessioni attive attraverso la procedura di risposta agli incidenti già in uso, invece di affidarsi solo al cambio password.
La variante con codici QR malevoli implica inoltre che la stessa cautela vale per locandine e inviti stampati: un documento dall'aspetto autentico non garantisce che la destinazione del suo codice QR sia legittima.
