Spionaggio silenzioso: un gruppo cinese ha trasformato una regola di Google Workspace in una cimice

Le operazioni di spionaggio più insidiose non fanno rumore. Il Google Threat Intelligence Group ha attribuito con alta confidenza a un gruppo legato alla Cina, identificato come UNC6508, una campagna durata oltre due anni che ha colpito istituzioni di ricerca mediche, accademiche e militari in Stati Uniti e Canada.

La tecnica è notevole proprio perché poco vistosa. Dopo essere entrati attraverso server di ricerca esposti su internet e aver ottenuto i privilegi di amministratore del dominio, gli attaccanti hanno abusato di una funzione legittima di Google Workspace: le regole di "conformità dei contenuti", normalmente usate dalle aziende per filtrare la posta. Ne hanno creata una, configurata per intercettare circa 150 parole chiave e inoltrare in copia nascosta (BCC) le email corrispondenti verso una casella Gmail controllata da loro. Una cimice, di fatto, costruita con uno strumento di sicurezza. L'attività si è protratta dal settembre 2023 almeno fino al novembre 2025.

La lezione è scomoda: non sempre l'attacco lascia tracce di malware. A volte sfrutta funzioni legittime, configurate male o dirottate, che nessun antivirus segnala. Difendersi richiede di sorvegliare non solo ciò che entra, ma anche le regole e i privilegi all'interno dei propri sistemi.

The most insidious espionage operations make no noise. The Google Threat Intelligence Group attributed with high confidence to a China-linked group, identified as UNC6508, a campaign lasting over two years that hit medical, academic and military research institutions in the United States and Canada.

The technique is notable precisely because it is inconspicuous. After entering through internet-exposed research servers and gaining domain-administrator privileges, the attackers abused a legitimate Google Workspace feature: the "content compliance" rules normally used by companies to filter mail. They created one, configured to catch about 150 keywords and silently blind-copy (BCC) the matching emails to a Gmail mailbox they controlled. A wiretap, in effect, built with a security tool. The activity ran from September 2023 until at least November 2025.

The lesson is uncomfortable: an attack does not always leave malware traces. Sometimes it exploits legitimate features, misconfigured or hijacked, that no antivirus flags. Defending yourself requires watching not only what comes in, but also the rules and privileges inside your own systems.