Una campaña de phishing que comenzó a mediados de agosto de 2026 utilizó invitaciones de Google Calendar para robar sesiones activas de usuarios corporativos, según Material Security. Los atacantes colocaron un proxy inverso delante de la página de inicio de sesión auténtica de Google, lo que les permitió capturar sesiones incluso cuando las víctimas completaban la autenticación multifactor (MFA).

Las invitaciones empleaban pretextos habituales, como notificaciones de mensajes de voz, solicitudes de propuestas (RFP) y de información (RFI), citaciones judiciales y avisos de pagos atrasados. Algunas procedían de organizaciones con las que los destinatarios ya se habían comunicado, y muchas se enviaban desde cuentas comprometidas a los contactos guardados de sus propietarios.

A menudo, los enlaces dirigían primero al servicio de redirección de Google; otras versiones utilizaban enlaces de share.google o Google Drive. Material también observó una variante que incluía notificaciones de transacciones de Intuit. Como los dominios y certificados visibles pertenecían a servicios legítimos, las comprobaciones de reputación podían parecer tranquilizadoras.

Cuando una víctima seguía el enlace, un proxy en tiempo real retransmitía el proceso de inicio de sesión a Google. Los atacantes podían observar la sesión mientras la víctima introducía una contraseña y aprobaba las solicitudes. Material afirma que la configuración también retransmitía códigos enviados por SMS y códigos de aplicaciones de autenticación, la solicitud de Google de coincidencia de números «Toca Sí» y la recuperación de cuentas mediante el teléfono, lo que permitía capturar la sesión pese a esas comprobaciones.

La campaña empleaba una cadena de tres etapas: una redirección de Google, un desafío de Cloudflare Turnstile y una página de captura de credenciales creada en el navegador del visitante después del desafío. Material afirmó que la página no tenía un sitio estático que un rastreador pudiera inspeccionar. La operación utilizaba numerosos dominios registrados recientemente y endpoints receptores rotativos, por lo que era barato reemplazar los componentes individuales cuando se bloqueaban.

El equipo de Investigación de Amenazas de Material rastreó la actividad y la denominó Operación CloudFire. La empresa afirma que sus sistemas de detección interceptaron más del 99% de los mensajes maliciosos desde que se identificó la campaña, con una tasa de reclasificación del 0,01%. Su análisis combinó indicadores técnicos con la intención del mensaje, los destinos de los enlaces y la relación del remitente con el destinatario.

A finales de septiembre, Material comenzó a informar a Cloudflare de las URL de las pasarelas y los sistemas backend de la campaña. Tras validar la pantalla intersticial falsa y la página de inicio de sesión con proxy, Cloudflare añadió advertencias de phishing a los destinos denunciados. Material afirma que esto interrumpió la infraestructura y permitió que quienes seguían los enlaces denunciados vieran una advertencia en lugar de un formulario de credenciales.

En el transcurso de un mes, entre los clientes que aceptaron compartir datos, Material registró 68.676 mensajes de la campaña bloqueados, 2.112 URL maliciosas únicas y 897 dominios dados de baja. También contabilizó 8.570 direcciones de remitentes comprometidas en 6.354 dominios raíz. La empresa señaló que estas cifras no representan el alcance total de la campaña.

Material afirma que los señuelos pasaron posteriormente de las invitaciones de calendario a invitaciones para compartir archivos y documentos de Google Drive, mientras que la actividad del grupo pareció dispersarse. La empresa describió la campaña como aparentemente finalizada, pero advirtió que su infraestructura es barata de reconstruir. Su análisis también detectó una rama inacabada para Microsoft 365 en el marco de trabajo de los atacantes, aunque esas vías no estaban activas.

Fuentes: BleepingComputer.