Selon Material Security, une campagne d’hameçonnage lancée à la mi-août 2026 a utilisé des invitations Google Calendar pour voler les sessions actives d’utilisateurs en entreprise. Les attaquants plaçaient un proxy inverse devant la véritable page de connexion de Google, ce qui leur permettait de capturer les sessions même lorsque les victimes validaient l’authentification multifacteur (AMF).
Les invitations s’appuyaient sur des prétextes courants, notamment des notifications de messages vocaux, des demandes de propositions (RFP) et d’informations (RFI), des convocations judiciaires et des avis de retard de paiement. Certaines provenaient d’organisations que les destinataires avaient déjà contactées, et beaucoup étaient envoyées depuis des comptes compromis aux contacts enregistrés par leurs propriétaires.
Les liens menaient souvent d’abord au service de redirection de Google ; d’autres variantes utilisaient des liens share.google ou Google Drive. Material a également observé une variante faisant intervenir des notifications de transaction d’Intuit. Comme les domaines visibles et les certificats appartenaient à des services légitimes, les vérifications de réputation pouvaient sembler rassurantes.
Après qu’une victime avait suivi le lien, un proxy en direct relayait le processus de connexion vers Google. Les attaquants pouvaient observer la session pendant que la victime saisissait son mot de passe et approuvait les demandes. Material indique que le dispositif relayait également les codes envoyés par SMS et ceux des applications d’authentification, la demande de correspondance de numéros « Appuyer sur Oui » de Google, ainsi que la récupération de compte par téléphone, ce qui permettait de capturer la session malgré ces contrôles.
La campagne utilisait une chaîne en trois étapes : une redirection Google, une vérification Cloudflare Turnstile, puis une page de capture des identifiants créée dans le navigateur du visiteur après la vérification. Selon Material, la page ne reposait pas sur un site statique qu’un robot d’exploration aurait pu inspecter. L’opération employait de nombreux domaines récemment enregistrés et des points de réception changeants, ce qui rendait chaque composant peu coûteux à remplacer lorsqu’il était bloqué.
L’équipe de recherche sur les menaces de Material a suivi l’activité et l’a baptisée Operation CloudFire. L’entreprise affirme que ses systèmes de détection ont intercepté plus de 99 % des messages malveillants depuis l’identification de la campagne, avec un taux de reclassement de 0,01 %. Son analyse combinait des indicateurs techniques avec l’intention du message, les destinations des liens et la relation entre l’expéditeur et le destinataire.
Fin septembre, Material a commencé à signaler à Cloudflare les URL de passerelle et de serveur principal de la campagne. Après avoir vérifié le faux écran intermédiaire et la page de connexion utilisant un proxy, Cloudflare a ajouté des avertissements d’hameçonnage aux destinations signalées. Material indique que cela a perturbé l’infrastructure et que les personnes qui suivaient les liens signalés pouvaient voir un avertissement plutôt qu’un formulaire de saisie d’identifiants.
Sur une période d’un mois, parmi les clients ayant accepté de partager leurs données, Material a enregistré 68 676 messages de campagne bloqués, 2 112 URL malveillantes uniques et 897 domaines démantelés. L’entreprise a également recensé 8 570 adresses d’expéditeurs compromises réparties sur 6 354 domaines racines. Elle a précisé que ces chiffres ne représentent pas la portée totale de la campagne.
Selon Material, les leurres ont ensuite délaissé les invitations de calendrier au profit d’invitations de partage de fichiers et de documents Google Drive, tandis que l’activité du groupe semblait se disperser. L’entreprise a décrit la campagne comme apparemment terminée, tout en avertissant que son infrastructure était peu coûteuse à reconstruire. Son analyse a également révélé une branche Microsoft 365 inachevée dans le cadre utilisé par les attaquants, mais ces parcours n’étaient pas actifs.
Sources: BleepingComputer.