В конце мая 2026 года белорусский политик Юрий Губаревич получил письмо, якобы от Google. В нём сообщалось о подозрительной активности на аккаунте и предупреждалось: если не пройти верификацию в течение 24 часов, аккаунт будет удалён. Юрий усомнился в подлинности письма и передал его исследователям RESIDENT.NGO ThreatLab. Проверка подтвердила: это была целенаправленная фишинговая атака, связанная с группой UNC1151 — структурой, которую исследователи Google и Mandiant ассоциируют с белорусскими государственными службами. Аккаунт Юрия Губаревича не попал в руки хакеров.
Мы хотим рассказать об этой атаке подробнее, чтобы вы знали, как выглядят подобные письма и что делать, если такое придёт вам.
Как работает такая атака
Фишинговое письмо создаёт ощущение срочности и угрозы: «аккаунт заблокируют», «данные удалят», «осталось 24 часа». Расчёт на то, что человек в панике перейдёт по ссылке, не успев как следует её проверить.
Ссылка ведёт на страницу, которая выглядит в точности как страница входа в Google. Там предлагается ввести логин, затем пароль, затем код двухфакторной аутентификации. Всё, что вводит пользователь, мгновенно передаётся злоумышленникам — и они используют эти данные для входа в настоящий аккаунт прямо в этот момент.
Важно понимать: при таком способе атаки обычные коды двухфакторной аутентификации — через SMS или приложение — не защищают. Код перехватывается в реальном времени, пока вы его вводите. Это не уязвимость конкретного сервиса, а принципиальное ограничение этих методов защиты.
Как распознать такое письмо
Несколько признаков, на которые стоит обращать внимание:
Срочность и угрозы. Любое письмо, которое требует срочных действий под угрозой потери аккаунта, — повод остановиться и проверить, прежде чем что-то делать.
Имя отправителя ≠ адрес отправителя. В этом письме отображаемое имя было «Account Support», но реальный адрес — обычный аккаунт Gmail, никак не связанный с Google. Всегда смотрите на адрес, а не только на имя. В этом случае адрес почты даже был составлено из похожих на кириллицу букв, которые трудно различить визуально. Отображаемое имя может быть любым, поэтому перепроверяйте фактический адрес.
Нет личного обращения. Настоящие уведомления от сервисов обычно содержат ваше имя или хотя бы адрес электронной почты. Безличное письмо — тревожный сигнал.
Что делать, если получили похожее письмо
Не переходите по ссылке. Если хотите проверить, всё ли в порядке с аккаунтом, — откройте браузер и введите адрес сервиса вручную (например, gmail.com). Так вы попадёте на настоящий сайт, а не на поддельный.
Если всё же перешли по ссылке и вводили данные — действуйте как можно быстрее:
- С другого устройства смените пароль.
- Завершите все активные сессии аккаунта.
- Проверьте настройки: список устройств, правила пересылки почты, связанные приложения.
- Предупредите коллег — захваченный аккаунт могут использовать для атак на людей из вашего окружения.
- Обратитесь за помощью к специалистам по цифровой безопасности, например, вы можете написать нам на [email protected]
Как защититься надёжнее
С сомнением относитесь к письмам, призывающим «срочно», «немедленно» ввести какие-либо ваши данные. Проверяйте ссылки и адреса.
Самый эффективный способ защиты от атак такого рода — перейти на passkey или аппаратный ключ безопасности (FIDO2) вместо кодов из SMS или приложений. Эти методы устроены так, что перехватить их при такой атаке невозможно.
Если вы политик, журналист, правозащитник или активист, подключитесь к программе расширенной защиты Google. Она создана специально для людей, которые могут стать целью целенаправленных атак, и значительно повышает уровень защиты аккаунта.
Подробнее
Полный технический разбор этой атаки — как была устроена инфраструктура, как работал перехват данных, какие индикаторы компрометации были обнаружены — опубликован коллегами из RESIDENT.NGO ThreatLab: читать технический отчёт.
Если нужна помощь
Если вы получили подозрительное письмо, беспокоитесь о безопасности своего аккаунта или хотите разобраться, как лучше защититься, — команда Digital Freedoms Lab готова помочь. Мы работаем с НКО, журналистами, активистами и правозащитниками и помогаем выстроить цифровую безопасность с учётом конкретной ситуации.
Также мы можем помочь вам, если вы стали жертвой атаки и хотите получить юридическую поддержку. Пишите нам на почту [email protected], чтобы получить помощь или консультацию.