Pe 15 septembrie 2026, centrul național de securitate cibernetică al Marii Britanii (NCSC) a publicat, împreună cu FBI și cu serviciul olandez de informații AIVD, un aviz comun despre o familie de malware folosită de actori statali iranieni. NCSC o numește CHOSEN BRICK, FBI o numește HEAVYGRAM. Ținta nu sunt companiile, ci oamenii: disidenți, activiști și jurnaliști, inclusiv persoane aflate în Marea Britanie, Statele Unite și Olanda, cel puțin din 2025.
Cum ajunge malware-ul pe dispozitiv
Potrivit avizului, atacatorii contactează ținta pe platforme de mesagerie — WhatsApp sau Telegram — dându-se drept un contact cunoscut sau drept suport tehnic. Apoi trimit un fișier care pare o aplicație legitimă. NCSC dă exemple concrete: Pictory, RunwayML, Norton Antivirus, KeePass. The Hacker News adaugă, în relatarea proprie, și Telegram sau Adobe Flash. Alteori fișierul e prezentat ca un document obișnuit, de pildă o imagine RMN.
Detaliul care face diferența: în timp ce malware-ul se instalează, pe ecran apare o interfață care arată autentic. Victima vede ceea ce se aștepta să vadă. Nu există eroare, nu există ecran suspect, nu există momentul în care „ceva pare în neregulă”. CHOSEN BRICK rulează doar pe Windows și rămâne activ după repornire, prin modificări în registry.
Ce poate face după instalare
- Confirmat de NCSC: colectează contactele, emailurile și mesajele din rețelele sociale ale țintei — suficient pentru a-i urmări deplasările.
- Raportat de The Hacker News: face capturi de ecran, activează microfonul pentru a înregistra audio, extrage date din Telegram și WhatsApp, fură parole, descarcă unelte suplimentare și poate șterge sistemul.
- Neconfirmat public: numărul victimelor, nivelurile de încredere din evaluarea NCSC și identitatea operatorilor.
NCSC atribuie campania unor actori cibernetici statali iranieni și afirmă că Iranul „aproape sigur” folosește activitatea cibernetică pentru a sprijini reprimarea persoanelor considerate o amenințare pentru regim. Avizul menționează că Iranul a plănuit răpiri sau operațiuni letale împotriva unor persoane, la nivel internațional. FBI merge mai departe și atribuie campania Ministerului iranian al Informațiilor și Securității — detaliu relatat de The Hacker News, care indică și un început al operațiunii în toamna lui 2023. Reține distincția: prima parte e formularea agenției, a doua e relatare de presă.
De ce contează într-o companie care nu are disidenți printre angajați
Trei motive, toate practice.
- Metoda nu e specifică țintelor politice. „Un cunoscut îți trimite un instrument util pe WhatsApp” funcționează identic într-un departament de marketing care caută o unealtă de editare video sau într-o echipă IT care caută un manager de parole.
- Atacul se petrece în afara perimetrului. Mesajul vine pe telefonul personal, pe o aplicație personală, iar fișierul ajunge pe laptop prin sincronizare sau prin transfer manual. Niciun filtru de email corporativ nu îl vede.
- Organizațiile care lucrează cu jurnaliști, ONG-uri, avocați sau comunități de diaspora au în echipă exact profilul vizat — iar compromiterea unui angajat expune și organizația, nu doar persoana.
Regula pe care o antrenezi
Avizul o formulează scurt și merită preluată ca atare: nu instala software primit prin atașament sau prin link; descarcă întotdeauna de pe site-ul oficial al producătorului, căutat separat. Restul recomandărilor pentru persoane sunt la fel de simple — actualizări automate active, antivirus pornit și actualizat, iar avertismentele SmartScreen nu se dezactivează și nu se trec cu „rulează oricum”.
Pentru organizații, avizul recomandă autentificare multifactor rezistentă la phishing, monitorizare pe endpoint și în rețea, listă albă de aplicații și căutarea în loguri a indicatorilor publicați.
Exercițiul: cinci minute, trei mesaje
Nu ai nevoie de o sesiune de o oră. Dă echipei trei scenarii și cere, pentru fiecare, un singur răspuns: care este pasul următor, concret.
- Un coleg îți scrie pe WhatsApp de pe un număr nou, spune că și-a schimbat telefonul și îți trimite un instrument care „rezolvă” problema cu care te-ai plâns ieri. Ce faci înainte de a deschide fișierul?
- Cineva care se prezintă drept suport IT extern îți trimite pe Telegram un installer și îți cere să confirmi când l-ai pornit. Pe ce canal verifici că persoana există și că cererea e reală?
- Ai deschis deja fișierul și nu s-a întâmplat nimic vizibil. Cui raportezi, în cât timp, și ce nu faci între timp?
Al treilea scenariu e cel mai important și cel mai des ratat. Un instalator care pare să funcționeze normal nu este o dovadă că totul e în regulă — în campania descrisă, interfața credibilă este parte din atac. Dacă singurul semnal pe care îl aștepți este „ceva a mers prost”, nu vei raporta niciodată.
Ce măsori
- Procentul de angajați care caută singuri site-ul oficial în loc să folosească fișierul sau linkul primit.
- Numărul de verificări făcute pe un canal diferit de cel în care a venit cererea.
- Timpul median dintre deschiderea unui fișier suspect și raportare — inclusiv când nu s-a întâmplat nimic vizibil.
- Câți angajați știu cui raportează un incident care s-a petrecut pe un dispozitiv personal.
- Existența unui traseu clar pentru persoanele cu risc ridicat din organizație: jurnaliști, cercetători, oameni care lucrează cu surse sensibile.
Un rezultat bun nu este o echipă care recunoaște numele CHOSEN BRICK. Este o echipă în care nimeni nu instalează un program primit pe chat, oricât de cunoscut ar fi expeditorul, și în care cineva ridică mâna și după ce a dat clic.