Ligou o WhatsApp a um QR code? Há espiões russos a contar com isso

O Google Threat Intelligence Group (GTIG) divulgou uma investigação que descreve três conjuntos de atividade suspeitos de ligação à Rússia que deixaram de tentar enganar as vítimas com falsas páginas de login e passaram a abusar de mecanismos de autenticação legítimos — palavras-passe de aplicação, fluxos OAuth e a função de associação de dispositivos do WhatsApp. A GTIG afirma seguir três conjuntos distintos de espionagem suspeitos de origem russa que abusam de fluxos de autenticação legítimos para atingir pessoas ligadas à academia, aeroespacial e defesa, governos e think tanks na Europa, além de academia e think tanks nos Estados Unidos. Segundo os investigadores Gabby Roncone e Wesley Shields, trata-se de campanhas persistentes e adaptativas, com engenharia social sofisticada, dirigidas a contas pessoais em várias plataformas.

Três grupos, um denominador comum: a conta da vítima

A Google atribui a atividade aos conjuntos UNC6293, UNC7005 e UNC5976, avaliando com elevada confiança que todos têm nexo russo, e considera com confiança moderada que UNC6293 e UNC7005 são grupos de acesso inicial associados ao ICE RELIC — a designação da Google para o ator também conhecido como APT29. Os investigadores sublinham que estas campanhas são difíceis de detetar precisamente porque abusam de mecanismos de autenticação genuínos em vez de recorrerem a páginas de login falsas convencionais.

É uma diferença relevante para quem defende: não há credenciais roubadas nem palavra-passe comprometida. O utilizador autentica-se no serviço verdadeiro e é o próprio consentimento — um código, um QR code, um botão de autorização — que entrega o acesso ao atacante. Muitos controlos tradicionais, incluindo boa parte da autenticação multifator, não travam este tipo de abuso.

UNC7005: o WhatsApp como sala de escuta

O UNC7005, também identificado como STORM-2945, foi detetado em fevereiro de 2026 e visa sobretudo pessoal académico, diplomático e de organizações sem fins lucrativos na Ucrânia, Europa Ocidental e Estados Unidos; a Google segue-o separadamente do UNC6293 por apresentar menor sofisticação e fraca segurança operacional, infraestrutura com características divergentes e uso de malware. Desde pelo menos fevereiro de 2026, o grupo conduz operações muito seletivas de phishing de palavras-passe de aplicação, com a particularidade de as palavras-passe usadas serem, em quase todos os casos observados, únicas por alvo.

O elemento mais invulgar é o abuso da associação de dispositivos. Em maio e junho, o grupo criou páginas de phishing que imitavam o WhatsApp e convidavam os alvos para chamadas, conversas ou partilhas de documentos supostamente seguras; pedia-se primeiro o número de telefone e, em seguida, era iniciado um pedido legítimo de associação de dispositivo, com o respetivo código ou QR code genuíno apresentado na página fraudulenta — quem seguia as instruções autorizava um dispositivo controlado pelos atacantes a aceder à sua conta.

Depois da associação, escolher a suposta chamada de voz fazia com que código JavaScript pedisse acesso à câmara e ao microfone, gravasse a vítima durante uma sequência de toque simulada e enviasse a gravação em formato WebM para um servidor de comando e controlo dos atacantes. Outras variantes apresentavam uma falsa opção de «chat encriptado», com credenciais e um segundo URL de login em /chat/login, ou um botão de transferência de ficheiro cujo conteúdo a GTIG não conseguiu determinar.

Uma vaga de phishing mais alargada distribuiu ainda o VIDAR a vítimas Windows e o ATOMIC (Atomic Stealer) a utilizadores de macOS, ambos infostealers em modelo de malware como serviço que recolhem credenciais guardadas no navegador, dados de pagamento e cookies. A GTIG identificou também o malware ENGINELIGHT e sobreposições com o infostealer em PowerShell CHERRYPIE/ChocoShell, cujo código continha artefactos sugestivos de geração assistida por modelos de linguagem.

A ligação aos portais cativos de hotéis e centros de conferências

A Google associou infraestrutura do UNC7005 aos redirecionamentos em portais cativos comprometidos de hotéis e centros de conferências reportados pela ReliaQuest e pela Microsoft, que encaminhavam utilizadores para infraestrutura de phishing com temática Microsoft, capaz de roubo de código de dispositivo ou entrega de malware. A Microsoft observa, desde o início de maio de 2026, ataques de manipulação de tráfego em redes do setor da hotelaria servidas por portais cativos, com domínios sósia que imitam serviços online da Microsoft para operações adversary-in-the-middle que abusam do fluxo de autenticação por código de dispositivo no Entra ID. Segundo o relatório da GTIG, a campanha conhecida como CaptiveCrunch não ocorreu isoladamente, e há indicações — levantadas pelo trabalho de acompanhamento da Lumen Black Lotus Labs — de que possam ter sido comprometidos prestadores de serviços geridos, com abuso da relação de confiança com clientes.

UNC6293 e UNC5976: falsos diplomatas e falsas partilhas de ficheiros

O UNC6293, detalhado pela Google e pelo Citizen Lab em junho de 2025, é avaliado como subgrupo do Ice Relic (anteriormente APT29, também conhecido por Cozy Bear e Midnight Blizzard) e foi antes associado ao abuso das palavras-passe específicas de aplicação das contas Google. Desde então manteve campanhas de pequena dimensão, tipicamente com menos de cinco alvos de cada vez, personificando responsáveis do Departamento de Estado norte-americano, com iscos de temática diplomática e referências a conferências ou reuniões — algumas assinaladas pela Volexity em dezembro de 2025. Em junho de 2026, a GTIG observou phishing de OAuth em que o grupo pedia aos alvos que partilhassem o URL completo ou o «código de verificação» após um login legítimo num fornecedor externo, o que bastava para conceder acesso à conta.

O UNC5976 é seguido desde março de 2026 e considerado distinto dos outros dois: comprava domínios com nomes relacionados com partilha de ficheiros, criava um projeto na cloud associado ao domínio e alojava uma falsa página de partilha que, alguns segundos após a visita, exibia uma janela de login. O botão «Continue with Google» encaminhava a vítima para a página legítima de OAuth da Google e, após autenticação, para um URL de projeto na Google Cloud com scripts maliciosos que extraíam o token de autenticação do URL e o guardavam para uso posterior. A GTIG nota que esta distinção pode indicar mandatos estratégicos diferentes e um possível alinhamento com outros serviços de informações russos. O foco operacional está sobretudo no setor militar, aeroespacial, base industrial de defesa e ONG/think tanks, com incidência geográfica na Ucrânia e na Arménia.

Indicadores e resposta da Google

Cerca de três meses após a deteção e disrupção iniciais, o UNC5976 criou pelo menos doze novos domínios e infraestrutura associada; a GTIG desativou os projetos cloud envolvidos e avalia que o grupo está a migrar parte da infraestrutura de phishing para outros fornecedores. A empresa acrescentou ainda a infraestrutura dos atacantes ao Safe Browsing.

O que fazer, na prática

• Tratar como suspeito qualquer pedido inesperado para associar dispositivos de mensagens, introduzir códigos de dispositivo, criar palavras-passe de aplicação ou aprovar acessos OAuth.
• Ativar bloqueios de registo e autenticação em dois fatores nas aplicações de mensagens, para impedir que um adversário registe a conta com códigos de verificação por SMS roubados.
• Rever regularmente a lista de dispositivos associados no WhatsApp e as aplicações de terceiros com acesso à conta Google ou Microsoft, removendo o que não for reconhecido.
• Desativar palavras-passe de aplicação sempre que possível e privilegiar autenticação resistente a phishing, como passkeys ou chaves de segurança físicas.
• Tratar o Wi-Fi de hotéis e conferências como não confiável, preferir ligações móveis privadas ou geridas e recusar atualizações de software propostas por portais cativos.
• Restringir, nas organizações, o fluxo de autenticação por código de dispositivo através de políticas de acesso condicional.

Porque é que isto importa em Portugal

Portugal não é mencionado na investigação, mas o perfil de vítimas — universidades, centros de investigação, diplomacia, defesa e organizações da sociedade civil na Europa — inclui categorias amplamente representadas no país, e o abuso de portais cativos afeta qualquer profissional em deslocação. Para entidades abrangidas pelo Regime Jurídico da Cibersegurança, que transpõe a NIS2, o tema toca diretamente em dois pontos: gestão de identidades e acessos e obrigações de notificação de incidentes ao CNCS/CERT.PT quando há comprometimento com impacto relevante. Se o acesso indevido atingir caixas de correio ou conversas com dados pessoais, acresce a avaliação de violação de dados ao abrigo do RGPD, com eventual notificação à CNPD e aos titulares.

Para as PME, a lição é menos técnica e mais cultural: um colaborador que aprova um pedido legítimo no ecrã do telemóvel pode entregar acesso persistente à correspondência da empresa sem que qualquer alerta dispare. Formação específica sobre associação de dispositivos, códigos de verificação e consentimentos OAuth passa a ser tão importante como o clássico aviso contra anexos suspeitos.

Perguntas frequentes

O que é a associação de dispositivos do WhatsApp e porque é perigosa?

É a funcionalidade que permite usar a mesma conta em vários equipamentos. Nas operações descritas, os atacantes iniciavam um pedido legítimo de associação e mostravam o código verdadeiro numa página falsa, pelo que quem seguia as instruções autorizava um dispositivo controlado por terceiros a aceder à conta.

A autenticação multifator protege contra estes ataques?

Não totalmente. Os investigadores da Google notam que estas campanhas são difíceis de detetar por abusarem de mecanismos de autenticação genuínos em vez de páginas de login falsas. Métodos resistentes a phishing, como passkeys ou chaves de segurança, e a revisão de sessões e permissões continuam a ser essenciais.

Quem são os alvos preferenciais?

Segundo a GTIG, pessoas ligadas à academia, aeroespacial e defesa, governos e think tanks na Europa, além de academia e think tanks nos Estados Unidos. As campanhas tendem a ser de pequena dimensão, por vezes com menos de cinco alvos de cada vez.

Como verificar se a minha conta foi comprometida?

Consulte a lista de dispositivos associados nas aplicações de mensagens, o histórico de sessões e dispositivos da conta Google ou Microsoft e as aplicações de terceiros autorizadas. Termine sessões desconhecidas, revogue permissões não reconhecidas, altere a palavra-passe e elimine palavras-passe de aplicação que não use.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo Google Threat Intelligence Group, pela Microsoft Threat Intelligence e pela ReliaQuest.