Специалисты «Лаборатории Касперского» выявили способ, позволяющий злоумышленникам проникать в корпоративную переписку Gmail, скрытно отслеживать сообщения и извлекать информацию из других сервисов Google. По оценкам экспертов, жертвами такой атаки могут стать до 40,8 миллиона граждан России.
Как сообщают «Ведомости», исследователи компании установили, что данная уязвимость в ИТ-системах представляет серьезную угрозу конфиденциальности для частных организаций. Хакеры эксплуатируют сохраненную сессию аутентификации пользователя, направляя запросы к Gmail через отладочный порт браузера.
В июне 2026 года «Лаборатория Касперского» обнаружила механизм, при помощи которого злоумышленники получают неавторизованный доступ к корпоративной почте Gmail через API. Атакующие могут незаметно просматривать переписку, а также извлекать данные из календаря и прочих сервисов Google. К таким выводам специалисты компании пришли в ходе мониторинга действий китайской кибергруппировки ToddyCat; по их мнению, этот метод потенциально применим и для взлома аккаунтов рядовых пользователей.
Сторонние приложения могут запрашивать доступ к сервисам Google через API — например, для синхронизации данных календаря на смартфоне с электронной почтой, объясняет эксперт по кибербезопасности «Лаборатории Касперского» Андрей Гунькин. По его словам, описанная атака возможна в браузерах, работающих на движке Chromium (Google Chrome, Microsoft Edge, Opera, Brave и другие). Хакеры используют тот факт, что пользователь не вышел из учетной записи Gmail, и браузер сохраняет активную сессию, как ранее предупреждал CNews. Злоумышленники запускают экземпляр браузера, подключаются к нему через отладочный порт и отправляют запросы к сервисам Google от имени пользователя в рамках текущей сессии.
Согласно исследованию Strategy Partners, на август 2025 года электронной почтой в России пользовались около 105 миллионов человек. При этом, по данным аналитического подразделения Т-Банка T-Data на май 2026 года, самым популярным почтовым доменом остается Gmail — его использует 38,9% россиян. Таким образом, под угрозой атаки потенциально могут оказаться примерно 40,8 миллиона пользователей, подсчитали «Ведомости».
Руководитель отдела исследования угроз экспертного центра безопасности Positive Technologies (PT Expert Security Center) Аскер Джамирзе подчеркнул, что группировка ToddyCat в основном нацелена на государственные органы, телекоммуникационные компании и военные объекты. Как он пояснил, главные цели хакеров расположены за рубежом, поэтому для обычных людей эта группа в настоящее время не представляет серьезной опасности. «Если их внимание и переключится на Россию, жертвами все равно станут крупные предприятия, а не обычные пользователи», — заявил специалист.
Кроме того, по мнению Аскера Джамирзе, данная ИТ-угроза имеет невысокую актуальность для крупных российских организаций. Большинство из них, особенно государственные учреждения, не применяют сервисы Google для организации внутренней работы. Эксперт добавил, что этот вектор кибератаки наиболее опасен для небольших компаний и частных лиц, использующих Gmail в целях сохранения конфиденциальности.
Многие российские компании, даже те, кто перешел в среду «суверенного рунета», по-прежнему применяют Google Workspace (ранее G Suite) для документооборота и корпоративной почты, сообщил председатель Совета по противодействию технологическим правонарушениям КС НСБ России Игорь Бедеров. По его словам, компрометация API-сессии дает злоумышленникам возможность получить доступ не только к переписке, но и к корпоративному календарю. Это позволяет хакерам отслеживать расписание встреч топ-менеджеров, изучать повестки совещаний и внедряться в деловые коммуникации компании.
Руководитель направления развития продуктов кибербезопасности Cloud.ru Максим Долгинин отмечает, что данная угроза является ограниченной, так как для ее осуществления требуется предварительно скомпрометировать устройство жертвы — необходимо наличие локального выполнения кода. Однако если злоумышленнику уже удалось проникнуть на устройство, он получает полный контроль над браузером, включая все активные сессии в Gmail, Outlook и других сервисах. При этом многофакторная аутентификация полностью нейтрализуется, поскольку сессия пользователя уже авторизована.
Как отметил Долгинин, потенциальная аудитория для такой атаки составляет десятки миллионов пользователей. В то же время оценить точное количество аккаунтов, содержащих критически важные данные, довольно трудно, добавил Аскер Джамирзе. Для нанесения значительного ущерба злоумышленникам нужен доступ к важной корпоративной или личной переписке, которой у большинства обычных пользователей, как правило, нет.
«Мы сталкиваемся не с массовой эпидемией, а с инструментом целевого шпионажа, который, судя по профилю группы ToddyCat, используется против организаций и конкретных лиц, представляющих стратегический интерес. Главная опасность метода заключается в том, что он эксплуатирует не уязвимость в коде, а штатный механизм браузеров на базе Chromium», — подчеркнул Игорь Бедеров.
Как отметил Игорь Бедеров, под наибольшую угрозу попадают те, кто оставляет Gmail открытым в фоновой вкладке браузера на продолжительное время, а также владельцы гаджетов со слабой защитой от первичного заражения вредоносными программами, например стилерами. Несмотря на то что потенциально жертвами могут стать миллионы учетных записей, данный метод требует высоких технологий и значительных затрат, поэтому в настоящее время он используется только в рамках APT-атак (целевых и долгосрочных киберопераций), подвел итог специалист.
