Ghostwriter wyłudza Gmail i kody 2FA w Polsce

Fałszywy alert o logowaniu, groźba blokady konta i panel niemal identyczny jak Gmail. Ten schemat jest dobrze znany, ale kampania opisana 12 czerwca 2026 roku przez CERT Polska wyróżnia się intensywnością, doborem celów i zdolnością do wyłudzania również drugiego składnika logowania.

Grupa UNC1151/Ghostwriter od lat próbuje przejmować skrzynki polskich obywateli. Wcześniej koncentrowała się głównie na użytkownikach Onetu, Wirtualnej Polski i Interii. Od marca 2026 roku prowadzi intensywne ataki na Gmail, a CERT Polska obserwował niemal codziennie nowe domeny phishingowe.

Nie jest to włamanie do Google ani techniczne obejście ochrony Gmaila. Napastnicy imitują proces logowania i w czasie rzeczywistym przechwytują dane, które ofiara wpisuje na fałszywej stronie.

Kto znajduje się na celowniku

Według CERT Polska zakres zainteresowania UNC1151 jest szeroki. Grupa atakuje osoby zaangażowane w politykę i życie publiczne, dziennikarzy, naukowców, pracowników administracji, służby mundurowe, tłumaczy i biegłych sądowych. Cele obejmują też członków rodzin i znajomych osób, które mogą dysponować wartościowymi informacjami lub kontaktami.

Atakujący nie zawsze znają dokładny adres skrzynki. Czasami zgadują kombinacje imienia i nazwiska, dlatego szkodliwe wiadomości trafiają również do przypadkowych odbiorców. Otrzymanie takiego maila nie dowodzi, że dana osoba była ważnym, indywidualnie wybranym celem. Nadal jednak należy potraktować wiadomość jako rzeczywistą próbę kradzieży konta.

Nazwa Ghostwriter jest publicznym określeniem aktywności śledzonej również jako UNC1151. Powiązania państwowe pojawiają się w analizach wielu instytucji, ale bez danych technicznych nie należy przypisywać każdej wiadomości konkretnej osobie lub służbie tylko na podstawie podobnego wyglądu.

Jak przebiega phishing

Schemat opisany przez CERT Polska ma kilka charakterystycznych etapów.

1. Wiadomość udaje alert Gmaila. Nadawca informuje o podejrzanej aktywności, próbie logowania z nowego urządzenia, naruszeniu regulaminu albo konieczności pilnej weryfikacji. Tematy w rodzaju „Krytyczny alert” czy „Możemy zablokować konto” mają wywołać strach i pośpiech.

2. Mail wygląda wiarygodnie. Wiadomości są pisane po polsku i zwykle nie zawierają rażących błędów. Najczęściej przychodzą ze specjalnie utworzonych kont Gmail, ale czasem grupa wykorzystuje już przejęte skrzynki i zmienia wyświetlaną nazwę nadawcy. W części kampanii odbiorcy są dodawani w polu UDW/BCC.

3. Link prowadzi do fałszywego panelu. Strona imituje logowanie Google i zbiera adres e-mail oraz hasło. Najważniejszą wskazówką pozostaje domena w pasku przeglądarki — grafika i formularz mogą być skopiowane niemal idealnie.

4. Napastnik od razu próbuje się zalogować. Gdy Google żąda drugiego składnika, fałszywa strona pokazuje kolejny formularz. Ofiara wpisuje kod SMS albo kod z aplikacji takiej jak Google Authenticator, a operator wykorzystuje go, zanim wygaśnie.

5. Próby są ponawiane. CERT Polska obserwował kilka wiadomości wysyłanych do tej samej osoby w ciągu dwóch dni. Zmniejszający się rzekomy termin przed blokadą konta zwiększa presję. Jeśli zdobyte dane nie zadziałają, grupa może wysłać kolejną wiadomość.

To klasyczny phishing czasu rzeczywistego. Nie „łamie” 2FA; przekonuje użytkownika do przekazania kodu ważnego przez krótką chwilę. Dlatego drugi składnik znacząco poprawia ochronę przed wyciekiem samego hasła, ale nie jest odporny na każdą formę socjotechniki.

Infrastruktura zmienia się niemal codziennie

UNC1151 korzysta z domen rejestrowanych specjalnie na potrzeby ataku, między innymi w końcówkach .icu, .digital i .top. Używa też subdomen platform hostingowych, np. netlify.app, oraz przejętych witryn należących do polskich organizacji.

W tym ostatnim przypadku właściciel strony może długo nie zauważyć problemu. Atakujący nie podmieniają strony głównej; umieszczają panel phishingowy pod dodatkową ścieżką. To kolejny powód, by utrzymywać strony internetowe i WordPress w aktualnym stanie oraz monitorować nieoczekiwane pliki.

Dynamiczna infrastruktura ogranicza skuteczność prostych list blokowanych domen. Filtr pocztowy nadal jest potrzebny, lecz organizacja musi zakładać, że część świeżych adresów nie będzie jeszcze znana dostawcy ochrony.

Jak odróżnić fałszywy alert

Nie opieraj decyzji na jakości języka ani logo. Sprawdź elementy, które trudniej podrobić:

• pełną domenę strony, zanim wpiszesz dane,
• rzeczywisty adres nadawcy, nie tylko wyświetlaną nazwę,
• czy alert jest widoczny po samodzielnym wejściu na konto Google,
• czy wiadomość wymusza natychmiastową reakcję pod groźbą utraty konta,
• czy prosi o ponowne logowanie z linku otrzymanego w mailu.

Najbezpieczniejsza zasada to ręczne otwarcie ustawień konta lub użycie zapisanej zakładki. Jeśli komunikat jest prawdziwy, informacja o zdarzeniu powinna być dostępna także po wejściu do panelu bez klikania linku. Więcej sygnałów ostrzegawczych opisujemy w poradniku jak rozpoznawać phishing.

Jak ograniczyć ryzyko przejęcia

Wybierz uwierzytelnianie odporne na phishing. Kody SMS i z aplikacji są lepsze niż samo hasło, ale mogą zostać przekazane fałszywej stronie. Passkeys i sprzętowe klucze FIDO wiążą logowanie z właściwą domeną, dlatego są znacznie trudniejsze do wyłudzenia. Praktyczne różnice wyjaśniamy we wpisie o passkeys.

Chroń osoby wysokiego ryzyka. Administracja, dziennikarze i kierownictwo powinni mieć łatwy kanał zgłaszania podejrzanych wiadomości oraz wsparcie przy sprawdzaniu prywatnych kont używanych do kontaktów zawodowych.

Monitoruj nie tylko logowania. Zwracaj uwagę na nowe urządzenia, zmianę danych odzyskiwania, reguły przekazywania poczty, filtry ukrywające wiadomości i nowe hasła aplikacji. Przejęta skrzynka może zostać wykorzystana do resetowania innych kont lub dalszego phishingu kontaktów.

Co zrobić po wpisaniu danych

Jeżeli hasło lub kod trafiły na podejrzaną stronę, działaj z zaufanego urządzenia:

1. zmień hasło do Google i wyloguj pozostałe sesje,
2. usuń nieznane urządzenia i aplikacje z dostępem do konta,
3. sprawdź metody 2FA, dane odzyskiwania oraz hasła aplikacji,
4. przejrzyj przekazywanie poczty, filtry i folder usuniętych wiadomości,
5. zabezpiecz konta społecznościowe i usługi odzyskiwane przez tę skrzynkę,
6. powiadom administratora oraz osoby, które mogły dostać wiadomości z przejętego konta,
7. zgłoś stronę lub wiadomość do CERT Polska.

Szybka zmiana hasła jest ważna, ale nie wystarczy, jeśli napastnik zdążył dodać własną metodę odzyskiwania albo sesję. Potrzebny jest pełny przegląd ustawień konta.

Podsumowanie

Kampania Ghostwriter pokazuje, że phishing wymierzony w Polskę nie musi mieć błędów językowych ani prymitywnej strony. Operatorzy dostosowują domeny, ponawiają presję i przechwytują kody 2FA w czasie rzeczywistym. Nie oznacza to porażki Gmaila czy bezsensowności MFA. Oznacza, że najcenniejsze konta powinny przejść na metody odporne na phishing, a użytkownicy muszą oceniać domenę i kontekst, nie sam wygląd komunikatu.

---

Źródła i dalsza lektura: CERT Polska — kampania UNC1151/Ghostwriter na Gmail, CERT Polska — wersja angielska analizy, CERT-EU — Cyber Brief za czerwiec 2026.