Charming Kitten, відоме також як APT35 і пов’язане в публічних дослідженнях із такими кластерами, як APT42, Mint Sandstorm, Magic Hound та TA453, роками атакує дослідників, журналістів, дипломатів, аналітиків, активістів та інших людей, чиї акаунти відкривають доступ до цінної інформації й професійних мереж.

Найцікавіше в діяльності цього угруповання — сама логіка операцій: знайти потрібну людину, створити правдоподібний привід для контакту, поступово сформувати довіру, а потім перевести її в дію з цифровою ідентичністю.

У проаналізованих кампаніях такими приводами ставали запрошення на конференції, запити від медіа, обговорення досліджень, пропозиції співпраці та інші звичні професійні ситуації. Після кількох нормальних контактів прохання відкрити документ, перейти на іншу платформу чи авторизуватися в сервісі вже не виглядає як окремий підозрілий епізод.

Саме тому група регулярно цікавиться середовищами, де відкритість є частиною роботи. Дослідники спілкуються з новими колегами, журналісти працюють із незнайомими джерелами, аналітики отримують запрошення на заходи, а представники громадянського суспільства підтримують міжнародні контакти. Для зловмисника такі зв’язки дають природний спосіб наблизитися до цілі.

Ще один важливий висновок стосується вибору жертв. Визначальним є не сектор чи формальна посада, а доступ до інформації та людей. Наприклад, дослідник, який працює над майбутньою аналітичною запискою, може бути кориснішою ціллю за високопосадовця з добре захищеною інфраструктурою.

Окрема проблема виникає на межі між особистими та корпоративними акаунтами. Одна й та сама комунікація може початися в робочій пошті, продовжитися у приватній скриньці, а потім перейти в месенджер. Для атакувальника це одна історія, тоді як для захисників вона часто розділена між різними системами та зонами відповідальності.

Показовим є кейс атаки на американський аналітичний центр у березні 2026 року. Спочатку ціль отримала правдоподібне запрошення на тематичний захід і звичайний PDF-файл через OneDrive. Шкідливий етап з’явився вже після того, як контакт став знайомим і не викликав очевидної підозри.

Для захисту цього недостатньо вирішувати проблему лише на рівні блокування посилань або стандартного навчання з фішингу. Значно важливіше захистити момент, коли професійний контакт переходить у запит на авторизацію чи іншу дію з акаунтом. Тут працюють phishing-resistant MFA, незалежна перевірка нових контактів, моніторинг змін у поштових і хмарних акаунтах та реагування, яке враховує всю історію взаємодії.

Головний висновок простий: у таких операціях сама професійна довіра стає частиною інфраструктури атаки. І саме тому захищати потрібно момент, коли звичайна робоча взаємодія перетворюється на цифрову довіру.