8 июля 2026 года сотрудники украинской гражданской сети "ОПОРА" получили письмо с требованием удалить материал о плагиате. Отправитель выдавал себя за юридический отдел известного медиа GORDON. За внешне рутинным обращением стояла подготовленная операция, нацеленная на захват доступа к служебным почтовым ящикам организации на платформе Google.
Описание
"ОПОРА" - одна из крупнейших общественных организаций Украины. Она занимается независимым наблюдением за выборами, мониторингом работы парламента и аналитикой. Доступ к почте такой структуры открывает не только переписку, но и возможность распространять атаку дальше по кругу доверенных контактов и партнёров. При этом украинские общественные и правозащитные объединения систематически попадают под целевые кибероперации со стороны связанных с государством групп, криминальных кластеров и хактивистов.
Письмо пришло на адрес одного из сотрудников. Отправитель использовал домен, визуально почти неотличимый от настоящего адреса редакции GORDON: злоумышленники заменили одну букву в названии. В потоке входящих сообщений подмену трудно заметить. Дополнительное правдоподобие создавала подпись с подлинным адресом редакции. По данным расследования DSLU, вся почтовая инфраструктура на поддельном домене была настроена на Microsoft 365 с корректными записями SPF, DKIM и DMARC - наборами правил, которые подтверждают, что письмо действительно отправлено владельцем домена. С точки зрения почтового сервера сообщение выглядело настоящим, поэтому Google не помечал его как спам.
Текст письма строился на юридическом давлении. От имени старшего специалиста юридического отдела Виктории Ворониной организация якобы обвинялась в плагиате и должна была удалить материал о восстановлении полномочий депутатов Домажировского сельсовета. Статья действительно выходила на сайте "ОПОРЫ" ещё в 2020 году, что усиливало убедительность претензии. Получателя торопили ознакомиться с деталями жалобы и перейти по ссылке, оформленной как ссылка на Google Диск.
Переход не вёл прямо на фишинговую страницу. Промежуточный узел работал как фильтр. С украинских адресов он сразу перенаправлял посетителя дальше, а с адресов других стран показывал задание с капчей - проверкой, подтверждающей, что перед сайтом человек. Автоматические сканеры и изолированные среды такие задания пройти не могут. Поэтому фильтр отсекал системы защиты и снижал заметность кампании для исследователей за пределами целевого региона.
Пройдя фильтр, жертва попадала на страницу, копирующую интерфейс Google Диска. Заголовок вкладки повторял название сервиса, а в единственной папке лежал документ, выдаваемый за PDF. Код страницы показывал, что это полноценное веб-приложение, а содержимое папки было заранее вписано в него. Через несколько секунд или при попытке скачать файл появлялось окно с единственной доступной кнопкой - "Продолжить с Google". Здесь и происходил ключевой этап.
Нажатие запускало цепочку перенаправлений, которая завершалась на настоящей странице Google. Жертва видела подлинный интерфейс Google и запрос разрешения для некоего приложения. Соглашаясь, она сама выдавала злоумышленникам постоянный ключ доступа к Gmail с правом читать, отправлять и удалять письма. Такой подход называют фишингом согласия: пароль остаётся у владельца, а доступ получает стороннее приложение.
Схема принципиально опаснее кражи пароля. Полученный ключ сохраняет силу даже после смены пароля. Он действует до тех пор, пока пользователь вручную не отзовёт разрешение. Двухфакторная аутентификация здесь не помогает, потому что все проверки Google жертва проходит самостоятельно. Права доступа позволяют читать переписку, писать от имени владельца, удалять сообщения, включая предупреждения системы безопасности, перехватывать коды подтверждения и рассылать атаку по контактам. Прервать доступ можно лишь вручную, отозвав разрешение приложения в настройках аккаунта.
Финальный этап атаки при этом не сработал. Google пометил приложение как непроверенное и ограничил его работу кругом тестировщиков, одобренных разработчиком. Попытка пройти процедуру согласия закончилась экраном блокировки доступа.
Анализ регистрационных данных и сетевого трафика вскрыл продуманную и распределённую инфраструктуру. Все четыре домена кампании зарегистрировали в один день - 24 июня 2026 года, за две недели до атаки. Сделали это через четырёх разных регистраторов и с разными поставщиками DNS, что затрудняет обнаружение и снятие ресурсов. Почтовая часть поддельного домена опиралась на серверы украинского провайдера, а фишинговые страницы прикрывали прокси-сервисом, скрывавшим настоящий источник. Сбор ключей доступа шёл бесплатной облачной платформы.
Выводы указывают на организованного и хорошо подготовленного исполнителя. Отдельные признаки роднят кампанию с целевым фишингом против армянского гражданского общества, который в марте 2026 года описала организация CyberHUB-AM. Это может говорить о более широкой региональной тенденции атак на правозащитные и общественные структуры. Прямой связи между кампаниями пока не подтверждено, приписать атаку конкретной группировке тоже нельзя.
Для защиты личных аккаунтов стоит проверить список подключённых приложений и удалить незнакомые, просмотреть правила фильтрации и пересылки в Gmail, а для наиболее уязвимых сотрудников включить расширенную программу защиты Google с аппаратными ключами. Организациям с корпоративными аккаунтами полезно пересмотреть подключённые приложения в административной консоли, ограничить доступ сторонних приложений через управление правами, запретить массовую пересылку почты и подключить усиленную защиту для сотрудников из группы риска.
Индикаторы компрометации
