17/08/2026
Grupa UNC1151/Ghostwriter pozostaje jedną z najbardziej aktywnych grup APT spośród obserwowanych przez zespół CERT Polska. Od wielu lat regularnie przeprowadza ona kampanie phishingowe w celu uzyskania dostępu do skrzynek pocztowych polskich obywateli. Przejęte skrzynki są następnie przeszukiwane pod kątem interesujących z punktu widzenia atakujących informacji, takich jak lista kontaktowa (do typowania dalszych celów kampanii), wrażliwe dokumenty czy powiązane konta (np. w mediach społecznościowych), które można przejąć z ich dalszym wykorzystaniem.
W minionych latach atakujący skupiali się na użytkownikach korzystających z usług polskich dostawców poczty elektronicznej, takich jak Onet, Wirtualna Polska czy Interia. Od marca 2026 roku grupa zaczęła realizować kampanie phishingowe ukierunkowane na użytkowników poczty Gmail. Są one prowadzone z dużą intensywnością, przede wszystkim w dni robocze. Warto zaznaczyć, że wyłudzany jest również drugi składnik logowania. W ostatnich tygodniach nasz zespół prawie codziennie obserwował nowe domeny wykorzystywane w atakach.
Zakres osób pozostających w kręgu zainteresowania UNC1151 jest bardzo szeroki. Grupa atakuje osoby zaangażowane w życie polityczne, aktywne społecznie, zajmujące eksponowane stanowiska, naukowców, dziennikarzy, pracowników administracji publicznej i służb mundurowych, a także inne osoby powiązane z nimi poprzez relacje rodzinne lub towarzyskie. Atakujący nie zawsze wiedzą do kogo należy skrzynka pocztowa, na którą wysyłają wiadomości phishingowe. Czasami próbują odgadnąć adres osoby będącej celem ataku, w rezultacie czego szkodliwe wiadomości z powodu zbieżności imion i nazwisk trafiają do przypadkowych osób. Obserwujemy też, że kampanie są niekiedy ukierunkowane na organizacje z konkretnego rejonu kraju lub osoby pełniące określone funkcje, np. tłumaczy czy biegłych sądowych.
https://cert.pl/posts/2026/06/UNC1151-kampania-gmail/
@liderzy wśród fanów
W ostatnim czasie obserwujemy ataki grupy UNC1151/Ghostwriter na pocztę Gmail. Grupa ta od kilku lat regularnie atakuje skrzynki pocztowe polskich obywateli, ale ataki te w przeszłości dotyczyły innych dostawców poczty. Wykorzystywane techniki z biegiem czasu ulegają zmianie, ale motyw przewod...
