Le groupe de hackers russes APT29 cible Gmail App

Contexte général de la campagne

Depuis avril 2025, le groupe de cyberespionnage APT29 (aussi appelé UNC6293, Cozy Bear ou Midnight Blizzard) mène une campagne sophistiquée visant principalement des universitaires et critiques du gouvernement russe. Ces attaques exploitent une faille d’usage dans les comptes Google en contournant l’authentification à deux facteurs grâce aux « App Passwords ».

Fonctionnement des App Passwords

Les App Passwords sont des codes à usage unique générés par l’utilisateur depuis son compte Google pour permettre à des applications moins sécurisées d’accéder aux données. Or, ces codes permettent un accès sans déclenchement du système de vérification à deux facteurs, créant une porte dérobée idéale pour les attaquants une fois qu’ils l’obtiennent.

Méthodologie des attaques

Techniques de phishing ciblé

Les attaquants contactent leurs cibles via de faux courriels en anglais impeccable, imitant des employés du Département d’État américain. Ils utilisent des adresses en @state.gov (inexistantes mais sans retour d’erreur) et établissent un échange prolongé visant à instaurer la confiance.

Le piège final via un faux PDF

Après plusieurs échanges, la victime reçoit un document PDF d’apparence officielle contenant des instructions précises pour générer un App Password Google nommé « ms.state.gov ». Pensant participer à un projet sécurisé gouvernemental, la victime transmet ce code aux attaquants, leur ouvrant un accès total à sa messagerie.

Accès aux comptes Gmail

Le code transmis permet à APT29 de configurer un client mail ou un accès programmatique qui contourne complètement la 2FA. Les attaquants peuvent alors lire, surveiller et extraire les emails sans être détectés.

Étude de cas : Keir Giles

Parmi les victimes figure Keir Giles, chercheur britannique spécialiste de la Russie. Il a échangé avec un faux fonctionnaire américain avant de recevoir un PDF sophistiqué. Ce document, long de six pages, sans aucune faute, pourrait avoir été généré ou affiné par une intelligence artificielle pour maximiser son réalisme.

Infrastructure technique de l’attaque

Les connexions malveillantes sont effectuées via des proxies résidentiels et des serveurs VPS, rendant la détection géographique difficile. Deux vagues ont été observées : une orientée vers le milieu académique américain, l’autre autour de thèmes ukrainiens.

Réaction de Google

Contre-mesures mises en œuvre

Google a collaboré avec Citizen Lab pour identifier les attaques, révoquer les App Passwords compromis, verrouiller les comptes ciblés et avertir les victimes potentielles. Les mesures préventives recommandées incluent l’activation du programme Advanced Protection et la suppression de tous les App Passwords inutilisés.

Analyse des tactiques APT29

APT29 est connu pour ses campagnes ciblées (comme SolarWinds ou le phishing OAuth). Sa méthode actuelle repose moins sur l’exploitation technique que sur le social engineering avancé, rendant la détection plus difficile et les dégâts potentiellement importants.

Conséquences en matière de cybersécurité

Failles liées aux App Passwords

Malgré leur rôle initialement utile, les App Passwords représentent une faille critique dans les environnements où la sécurité est primordiale. Ils permettent un accès furtif à des comptes protégés par 2FA, sans alerter l’utilisateur.

Amélioration du phishing grâce à l’IA

L’usage potentiel d’intelligence artificielle pour rédiger des messages et documents sans fautes grammaticales ou incohérences rend les tentatives de phishing plus convaincantes que jamais, surtout auprès de cibles éduquées et habituées à filtrer les fraudes classiques.

Recommandations de sécurité

Les organisations et individus à risque élevé doivent activer le programme Advanced Protection, auditer régulièrement leurs App Passwords, former les employés à détecter les signes de rapport-building suspect, et intégrer des solutions d’analyse comportementale capables de détecter des anomalies d’accès.

En résumé

La campagne de phishing d’APT29 exploitant les App Passwords de Gmail révèle un changement stratégique dans l’arsenal des cyberattaques étatiques. Au-delà des vulnérabilités techniques, elle exploite les failles humaines avec une précision redoutable. Cette menace souligne l’importance d’un modèle de sécurité centré sur l’utilisateur, reposant autant sur la technologie que sur la formation, la gouvernance des accès et l’analyse proactive des comportements numériques.

Sources :
The Hacker News - Russian APT29 Exploits Gmail App Passwords to Bypass 2FA in Targeted Phishing Campaign.
Security Week - Russian Hackers Bypass Gmail MFA With App-Specific Password Ruse.