Pe 29 septembrie 2026, Microsoft a publicat o analiză despre gruparea rusă Star Blizzard. Ea descrie cel puțin 13 campanii de phishing de mari dimensiuni, între ianuarie și august 2026, fiecare cu zeci până la sute de mesaje, într-o scară pe care Microsoft spune că nu o mai văzuse la acest actor. Au fost vizate peste 100 de organizații, în principal din Statele Unite și Marea Britanie: persoane și instituții din Ucraina, dar și ONG-uri internaționale, centre de analiză, guverne și instituții financiare care au sprijinit Ucraina politic sau financiar.
Cum decurge, pas cu pas, potrivit Microsoft
- Pasul 1 — un email nesolicitat, fără atașament.
- Pasul 2 — dacă destinatarul răspunde, actorul trimite un al doilea mesaj.
- Pasul 3 — mesajul conține o arhivă RAR sau ZIP protejată cu parolă. Parola este inclusă ca imagine în corpul emailului.
- Pasul 4 — victima extrage arhiva și deschide fișierele din ea.
Microsoft numește RedFlick tehnica de livrare care folosește un set de sarcini programate pentru a instala backdoorul propriu al grupării, CosmicPulse, o unealtă scrisă în Python, cunoscută public și sub numele NOROBOT sau BAITSWITCH. Microsoft subliniază că fluxul cere o singură interacțiune din partea utilizatorului, ceea ce reduce fricțiunea, spre deosebire de lanțurile anterioare de tip ClickFix, în care victima trebuia să facă mai multe acțiuni.
The Hacker News adaugă, din relatarea proprie, un detaliu tehnic: fișierele din arhivă ar fi scurtături care se dau drept PDF-uri și care pornesc comenzi ce aduc pachete de instalare pentru CosmicPulse. Acest detaliu nu apare în rezumatul raportului Microsoft pe care l-am citit, deci îl atribuim publicației.
De ce funcționează, în opinia noastră
Aceasta este analiza articolului, nu afirmația Microsoft. Filtrele de email caută linkuri, atașamente și indicatori cunoscuți. Un prim mesaj care nu conține nimic din toate acestea nu dă filtrului nimic de oprit. Iar după răspuns, o arhivă cu parolă dată într-o imagine îngreunează inspecția automată a conținutului. Fiecare pas, luat separat, arată inofensiv. Pericolul apare din secvență.
Momelile: mesaje pe care le-ai răspunde și tu
- Notificări fiscale sau de plată, precum „Notice of tax audit results” sau „Debiting from your account for payment of a fine”.
- Invitații la evenimente închise, cu nume prestigioase folosite în mod fals: un „Private Roundtable” atribuit IISS, o discuție strategică „closed-door” atribuită Atlantic Council, o conferință Chatham House.
- Anunțuri mundane de infrastructură, de exemplu „Information about temporary water supply shutdown”.
Ce au în comun: cer un răspuns, nu un clic. O invitație la un eveniment prestigios este exact tipul de mesaj la care un profesionist răspunde politicos, cu „mulțumesc, voi participa” sau „puteți trimite detalii?”. Nu este nicio greșeală evidentă în asta. De aceea nu se antrenează cu „nu da clic”.
Expeditorul nu arată suspect, și asta e intenționat
Microsoft descrie o schimbare de infrastructură: gruparea folosește conturi create pe site-uri găzduite cu cPanel și WordPress, pe care Microsoft le evaluează, cu încredere ridicată, ca fiind compromise de Star Blizzard în acest scop. Înainte, se baza în principal pe servicii gratuite de email, precum Proton sau conturi Microsoft personale. Campaniile sunt rulate printr-o platformă de trimitere în masă, care automatizează execuția.
Consecința practică, tot a noastră: un expeditor care vine de pe domeniul unei firme mici, cu un site real în spate, nu mai seamănă cu tiparul clasic al unei adrese gratuite. Regula „verifică dacă adresa arată ciudat” își pierde din valoare.
Ce este și ce nu este cunoscut
- Confirmat de Microsoft: numărul campaniilor, intervalul, tipurile de ținte, fluxul în patru pași, schimbarea de infrastructură.
- Evaluare a Microsoft, nu certitudine: faptul că site-urile de trimitere sunt compromise de aceeași grupare, cu încredere ridicată.
- Recunoscut de Microsoft ca lacună: nu a putut obține o variantă a unei biblioteci DLL folosite printr-una dintre sarcinile programate.
- Necunoscut: câte dintre cele peste 100 de organizații au fost efectiv compromise. Raportul descrie ținte, nu victime confirmate.
- Context istoric raportat de The Hacker News, nu parte din raportul nou: descoperiri comune ale mai multor agenții, din decembrie 2023, ar lega Star Blizzard de Centrul 18 al FSB. Nu l-am reverificat independent pentru acest articol.
- Nicio sursă nu spune că vreo organizație din România ar fi fost vizată. Profilul țintelor este însă larg, iar tiparul nu depinde de țară.
Comportamentele pe care le antrenezi
- Răspunsul este o acțiune, nu o politețe. Pentru un mesaj nesolicitat de la o persoană sau o organizație pe care nu o cunoști, nu răspunde ca să ceri detalii. Verifică mai întâi.
- Verifică evenimentul prin organizator, nu prin expeditor. Dacă o instituție te invită la o discuție închisă, caută contactul ei pe site-ul oficial și întreabă acolo.
- O arhivă cu parolă, cu parola dată într-o imagine, este un semnal de raportare, nu de efort. Este neobișnuit ca o invitație la un eveniment să te trimită să dezarhivezi ceva cu parolă.
- Nu deschide fișiere dintr-o arhivă primită astfel. Activează afișarea extensiilor de fișier, ca să vezi dacă un „PDF” este de fapt o scurtătură.
- Notificările fiscale și de plată se verifică în portalul oficial al instituției, deschis de tine, nu prin ce ți s-a trimis.
- Raportează chiar dacă ai răspuns deja, fără să fi deschis nimic. Un singur răspuns este primul pas al lanțului și e exact momentul în care echipa de securitate poate interveni.
Ce recomandă Microsoft, pentru mediile Microsoft 365
- metode de autentificare rezistente la phishing;
- politici de acces condiționat;
- soluții avansate anti-phishing, precum Defender for Office 365;
- Safe Links și Safe Attachments;
- EDR în modul de blocare pe stațiile de lucru;
- zero-hour auto purge, care retrage din cutiile poștale mesajele identificate ulterior ca rău-intenționate.
Este lista Microsoft, formulată pentru produsele sale. Ea acoperă partea tehnică, dar niciuna dintre aceste măsuri nu oprește un angajat care răspunde politicos unui prim mesaj curat.
Exercițiul: 30 de minute, cu mesaje pregătite dinainte
Pentru ONG-uri, echipe de comunicare, relații externe, achiziții și management. Pregătește patru mesaje fictive, pe care nu le trimiți de pe niciun domeniu real, și arată-le pe rând.
- Injectul 1 — o invitație politicoasă la o discuție închisă, semnată de o instituție prestigioasă, fără link și fără atașament. Răspunzi? Ce faci înainte?
- Injectul 2 — ai răspuns, iar în mesajul următor primești o arhivă cu parolă, iar parola este o imagine. Ce observi și cui raportezi?
- Injectul 3 — din arhivă, un fișier arată ca un PDF. Cum verifici ce este de fapt și cine decide ce se întâmplă cu stația?
- Injectul 4 — un coleg a răspuns și a deschis fișierul acum o oră. Ce izolezi, ce păstrezi ca probă și cine anunță ceilalți destinatari ai aceleiași campanii?
Ce măsori
- Procentul de participanți care aleg să verifice evenimentul prin organizator înainte de a răspunde.
- Timpul median dintre primirea unui mesaj suspect și raportare.
- Numărul de raportări venite de la persoane care au răspuns, dar nu au deschis nimic. O creștere este un semnal bun, nu o problemă.
- Procentul de angajați care știu să vadă extensia reală a unui fișier.
- Dacă echipa de securitate poate afla în câteva minute care alți destinatari au primit același prim mesaj.
- Câte persoane știu unde raportează un mesaj primit pe adresa personală, dar legat de activitatea profesională.
Concluzia nu este că trebuie să ne temem de orice invitație. Este că, într-un lanț care nu declanșează nicio alarmă până la al doilea pas, singurul punct în care apărarea depinde de om este primul răspuns. Iar acolo un exercițiu de treizeci de minute valorează mai mult decât încă un filtru.