UNC1151 atakuje Gmail: Nowa fala phishingu – Cyber

Kampania phishingowa grupy UNC1151/Ghostwriter na pocztę Gmail

Grupa UNC1151, znana jako Ghostwriter, wciąż jest w grze. Od lat polują na skrzynki pocztowe polskich obywateli. Przejmują kontrolę, a potem kradną informacje. To rutyna.

Przez długi czas atakowali użytkowników Onetu, Wirtualnej Polski i Interii. Od marca 2026 roku zmienili cel na Gmaila. Uderzają intensywnie, zwłaszcza w dni robocze. Chcą zdobyć drugi składnik logowania.

Cel ataku i ofiary

Lista celów jest szeroka. Trafiają na polityków, aktywistów, naukowców i dziennikarzy. W sieci lądują też pracownicy administracji publicznej oraz służb mundurowych. Często uderzają w ich rodziny lub znajomych. Czasem wystarczy zbieżność nazwisk, by trafić na listę.

Metody działania i fałszywe wiadomości

Ghostwriterzy podszywają się pod administratorów Gmaila. Wysyłają maile z nowych kont lub przejętych skrzynek z zmienioną nazwą nadawcy. Treść jest zawsze podobna: podejrzana aktywność, nieuprawnione logowanie albo złamanie regulaminu. Grożą blokadą konta. W środku czeka link do fałszywego panelu logowania.

Wyłudzanie danych i infrastruktura ataków

Strona wyłudza adres, hasło i kod 2FA. Nie ma znaczenia, czy kod przychodzi w SMS-ie, czy z aplikacji Google Authenticator. Atakujący bywają uparci i wracają do tych samych kont. Wykorzystują własne domeny, subdomeny w Netlify lub przejęte polskie witryny. Strona główna serwisu zostaje nienaruszona. Właściciele stron nic nie widzą.