Secondo Material Security, una campagna di phishing iniziata a metà agosto 2026 ha utilizzato inviti di Google Calendar per rubare sessioni attive agli utenti aziendali. Gli aggressori hanno posizionato un reverse proxy davanti alla vera pagina di accesso di Google, riuscendo così ad acquisire le sessioni anche quando le vittime completavano l’autenticazione a più fattori (MFA).

Gli inviti ricorrevano a pretesti comuni, tra cui notifiche di messaggi vocali, richieste di RFP e RFI, citazioni in tribunale e avvisi di pagamenti mancati. Alcuni provenivano da organizzazioni con cui i destinatari avevano già avuto contatti e molti erano inviati da account compromessi ai contatti salvati dai rispettivi proprietari.

Spesso i link portavano prima al servizio di reindirizzamento di Google; altre varianti utilizzavano link share.google o Google Drive. Material ha inoltre osservato una variante che coinvolgeva notifiche di transazioni Intuit. Poiché i domini visibili e i certificati appartenevano a servizi legittimi, i controlli di reputazione potevano sembrare rassicuranti.

Dopo che una vittima seguiva il link, un proxy in tempo reale inoltrava a Google il processo di accesso. Gli aggressori potevano osservare la sessione mentre la vittima inseriva una password e approvava le richieste. Secondo Material, il sistema inoltrava anche i codici SMS e quelli delle app di autenticazione, la richiesta di Google di toccare «Sì» per la corrispondenza dei numeri e il recupero dell’account tramite telefono, consentendo di acquisire la sessione nonostante questi controlli.

La campagna utilizzava una catena in tre fasi: un reindirizzamento Google, una verifica Cloudflare Turnstile e una pagina per acquisire le credenziali, creata nel browser del visitatore dopo la verifica. Material ha affermato che la pagina non aveva un sito statico che un crawler potesse esaminare. L’operazione utilizzava numerosi domini registrati di recente ed endpoint di ricezione a rotazione, rendendo poco costoso sostituire i singoli componenti quando venivano bloccati.

Il team di Threat Research di Material ha monitorato l’attività e l’ha denominata Operazione CloudFire. L’azienda afferma che, da quando la campagna è stata identificata, i suoi sistemi di rilevamento hanno intercettato oltre il 99% dei messaggi malevoli, con un tasso di riclassificazione dello 0,01%. La sua analisi ha combinato indicatori tecnici con l’intento dei messaggi, le destinazioni dei link e il rapporto tra mittente e destinatario.

Alla fine di settembre, Material ha iniziato a segnalare a Cloudflare gli URL dei gateway e dei backend della campagna. Dopo aver verificato la falsa schermata interstiziale e la pagina di accesso con proxy, Cloudflare ha aggiunto avvisi di phishing alle destinazioni segnalate. Secondo Material, ciò ha interrotto l’infrastruttura e fatto sì che chi seguiva i link segnalati potesse visualizzare un avviso anziché un modulo per l’inserimento delle credenziali.

In un mese, tra i clienti che hanno accettato di condividere i dati, Material ha registrato 68.676 messaggi della campagna bloccati, 2.112 URL malevoli unici e 897 domini rimossi. Ha inoltre contato 8.570 indirizzi di mittenti compromessi distribuiti su 6.354 domini radice. L’azienda ha osservato che queste cifre non rappresentano la portata complessiva della campagna.

Material afferma che in seguito le esche sono passate dagli inviti di calendario agli inviti di condivisione di file e documenti di Google Drive, mentre l’attività del gruppo sembrava disperdersi. L’azienda ha descritto la campagna come apparentemente conclusa, ma ha avvertito che ricostruire la sua infrastruttura costa poco. La sua analisi ha inoltre individuato nel framework degli aggressori un ramo incompleto per Microsoft 365, sebbene quei percorsi non fossero attivi.

Fonti: BleepingComputer.