Espionnage russe : trois clusters OAuth piratent la défense

Quand l'authentification légitime devient le vecteur de l'espionnage d'État

Google Threat Intelligence Group (GTIG) a publié le 20 août 2026 un rapport révélant les opérations de trois clusters d'espionnage cyber suspectés d'agir pour le compte de la Russie. Désignés UNC6293, UNC7005 et UNC5976, ces groupes ont développé une approche radicalement différente des intrusions classiques : plutôt qu'exploiter des vulnérabilités logicielles, ils détournent les flux d'authentification que leurs cibles utilisent quotidiennement — OAuth de Google, les mots de passe d'application de Microsoft 365, les codes de device flow et la fonctionnalité de liaison d'appareils de WhatsApp. Le résultat est une compromission sans malware, sans exploit, et presque sans trace dans les outils de sécurité classiques.

Le profil des cibles est cohérent avec les priorités stratégiques du renseignement russe : des individus travaillant dans les secteurs de la défense et de l'aérospatiale, des fonctionnaires et diplomates de gouvernements européens, des chercheurs dans des think tanks influençant les politiques de sécurité et de relations internationales, et des académiques dans des universités américaines dont les travaux présentent une valeur de renseignement. Ces cibles correspondent étroitement au profil historique d'APT29, le groupe russe également connu sous les noms Midnight Blizzard, Cozy Bear et NOBELIUM — responsable notamment de la compromission de SolarWinds et de multiples agences gouvernementales américaines et européennes ces dernières années.

Google évalue avec une confiance modérée qu'UNC6293 et UNC7005 sont des clusters d'accès initial associés à ICE RELIC, le nom de suivi interne de Google pour APT29. UNC5976 est suivi séparément avec un nexus russe établi. La distinction entre ces trois clusters reflète des différences dans les tactiques, techniques et procédures (TTP) observées, même si leurs objectifs opérationnels convergent vers la collecte de renseignement stratégique.

La mécanique de l'attaque OAuth exploite une asymétrie psychologique précise. Après avoir attiré une cible vers une interaction semblant légitime — souvent autour de fausses conférences académiques, de demandes de collaboration professionnelle ou de documents à consulter sur une plateforme de partage — les attaquants demandent à la victime de partager une URL ou un "code de vérification" reçu après connexion. Ce code est en réalité un token OAuth ou un code de device flow. Sa transmission permet aux attaquants d'obtenir un accès complet au compte Google ou Microsoft de la victime, sans connaître son mot de passe, sans déclencher d'alerte MFA, et sans laisser d'indicateur de compromission visible dans les outils classiques.

UNC5976 se distingue par un niveau d'automatisation plus élevé. Selon le rapport GTIG, le groupe enregistre des domaines imitant des services légitimes de partage de fichiers, déploie des projets Google Cloud derrière ces façades, et utilise des scripts hébergés dans le cloud pour collecter automatiquement les tokens d'authentification des cibles qui initialisent une connexion Google via ces pages frauduleuses. Cette industrialisation permet à UNC5976 d'opérer à grande échelle avec une présence humaine minimale dans la boucle opérationnelle.

UNC7005 pousse le détournement de WhatsApp à un niveau particulièrement intrusif. Le groupe trompe ses victimes pour qu'elles lient leur compte WhatsApp à un appareil contrôlé par les attaquants, via des codes QR ou des liens de liaison présentés dans un contexte de confiance. Une fois la liaison établie, les attaquants reçoivent l'intégralité des conversations de la victime en temps réel sur leur propre appareil. Selon Google GTIG, UNC7005 est allé jusqu'à tromper des cibles pour enregistrer leurs conversations audio et vidéo via de faux appels WhatsApp, transformant le téléphone personnel de la victime en dispositif de surveillance actif.

Google a suivi l'infrastructure d'UNC5976 depuis fin avril 2026 et a systématiquement ajouté les domaines malveillants aux listes de blocage de Google Safe Browsing au fur et à mesure de leur activation. La résilience opérationnelle du groupe est notable : en moins de trois mois de perturbations actives, UNC5976 avait reconstruit au minimum douze nouveaux domaines et avait commencé à migrer vers des hébergeurs non-Google, réduisant sa dépendance à une infrastructure que Google peut détecter et neutraliser directement.

Les recommandations défensives du rapport GTIG sont précises : restreindre la création de mots de passe d'application dans les paramètres de sécurité de Google Workspace et Microsoft 365, effectuer un audit complet des applications tierces ayant reçu des autorisations OAuth, surveiller dans les journaux d'audit les événements de type device code flow et les nouvelles liaisons d'appareils WhatsApp, et former les personnels à risque élevé à ne jamais partager de codes de vérification, URLs d'authentification, QR codes ou mots de passe d'application reçus pendant ou après un processus de connexion, quelle que soit l'apparente légitimité de la demande.

Un nouveau paradigme : exploiter la confiance dans l'authentification légitime

Ce rapport documente une évolution significative dans les tactiques d'espionnage cyber avancé : le basculement des exploits techniques vers la manipulation des protocoles d'authentification légitimes comme vecteur principal. Cette approche est délibérément choisie pour ses avantages opérationnels : elle génère moins de bruit dans les journaux de sécurité que l'exécution de malware, contourne les détections basées sur les signatures et les IOC réseau, et exploite un angle mort structurel — la plupart des solutions de détection surveillent les exécutables malveillants et le trafic réseau anormal, pas les échanges de tokens OAuth entre services légitimes.

L'attribution à APT29 pour deux des trois clusters confère à cette menace un niveau de sophistication et de persistance particulier. APT29 est historiquement l'un des acteurs de cyberespionnage les plus capables et les plus patients, connu pour maintenir des accès discrets pendant des mois ou des années avant d'exploiter les informations collectées. La transition de ce groupe vers des techniques d'abus d'authentification légitime reflète une adaptation stratégique aux améliorations des défenses endpoint : quand les EDR et les solutions antimalware deviennent suffisamment efficaces, les acteurs sophistiqués cherchent des vecteurs qui n'impliquent pas d'exécution de code malveillant sur les systèmes cibles.

Pour les organisations des secteurs ciblés, ce rapport est un signal d'alarme pratique. La conformité aux référentiels de sécurité classiques — MFA obligatoire, politique de mots de passe forte, EDR de dernière génération, formation anti-phishing générique — ne suffit plus à protéger contre des acteurs qui contournent précisément ces contrôles. La surface d'attaque s'est étendue : les tokens OAuth, les appareils personnels utilisés pour WhatsApp, et les comportements individuels des collaborateurs les plus exposés sont désormais des vecteurs à surveiller avec la même rigueur que les accès réseau traditionnels.

La dynamique d'escalade illustre la résilience des acteurs étatiques face aux perturbations : Google agit pour neutraliser l'infrastructure malveillante, UNC5976 reconstruit rapidement et migre. Cette capacité de reconstruction, combinée à l'automatisation croissante des attaques, suggère que la menace ne se résorbera pas spontanément. Les équipes de sécurité opérant dans les secteurs ciblés doivent considérer la compromission par ces vecteurs comme un risque actif et non hypothétique.

Ce qu'il faut retenir

• Trois clusters d'espionnage russes (UNC5976, UNC6293, UNC7005), dont deux probablement liés à APT29, ciblent défense, diplomatie, gouvernements et académiques via l'abus des flows OAuth et de la liaison d'appareils WhatsApp, sans exploit technique.
• Ces attaques contournent le MFA et restent quasi-invisibles dans les journaux classiques — aucun IOC réseau ni exécutable malveillant détectable par les outils traditionnels.
• Actions prioritaires : auditer et révoquer les autorisations OAuth inconnues dans Workspace et M365, restreindre les mots de passe d'application, surveiller les events de device code flow dans le SIEM, et former les personnels exposés à reconnaître ces vecteurs d'ingénierie sociale avancée.