Uma campanha de phishing iniciada em meados de agosto de 2026 usou convites do Google Calendar para roubar sessões ativas de usuários corporativos, segundo a Material Security. Os atacantes colocaram um proxy reverso diante da página genuína de login do Google, o que lhes permitiu capturar sessões mesmo quando as vítimas concluíam a autenticação multifator (MFA).

Os convites usavam pretextos corriqueiros, incluindo notificações de mensagens de voz, solicitações de RFP e RFI, intimações judiciais e avisos de pagamentos atrasados. Alguns vinham de organizações com as quais os destinatários haviam entrado em contato anteriormente, e muitos eram enviados de contas comprometidas para os contatos salvos de seus proprietários.

Os links frequentemente levavam primeiro ao serviço de redirecionamento do próprio Google, enquanto outras versões usavam links do share.google ou do Google Drive. A Material também observou uma variante que envolvia notificações de transações da Intuit. Como os domínios visíveis e os certificados pertenciam a serviços legítimos, as verificações de reputação podiam parecer tranquilizadoras.

Depois que uma vítima acessava o link, um proxy ativo retransmitia o processo de login para o Google. Os atacantes podiam observar a sessão enquanto a vítima inseria uma senha e aprovava as solicitações. Segundo a Material, a estrutura também retransmitia códigos de SMS e de aplicativos autenticadores, a solicitação do Google de correspondência numérica «Toque em Sim» e a recuperação de conta por telefone, permitindo capturar a sessão apesar dessas verificações.

A campanha usava uma cadeia de três etapas: um redirecionamento do Google, um desafio do Cloudflare Turnstile e uma página de captura de credenciais criada no navegador do visitante após o desafio. A Material afirmou que a página não tinha um site estático que um rastreador pudesse inspecionar. A operação usava numerosos domínios registrados recentemente e endpoints de recebimento rotativos, o que tornava barato substituir componentes individuais quando fossem bloqueados.

A equipe de Threat Research da Material acompanhou a atividade e a batizou de Operação CloudFire. A empresa afirma que suas detecções identificaram mais de 99% das mensagens maliciosas desde que a campanha foi detectada, com uma taxa de reclassificação de 0,01%. Sua análise combinou indicadores técnicos com a intenção das mensagens, os destinos dos links e a relação entre remetente e destinatário.

No fim de setembro, a Material começou a denunciar à Cloudflare os URLs de gateway e backend da campanha. Depois de validar a tela intermediária falsa e a página de login com proxy, a Cloudflare adicionou avisos de phishing aos destinos denunciados. Segundo a Material, isso interrompeu a infraestrutura e fez com que as pessoas que acessassem os links denunciados vissem um aviso em vez de um formulário de credenciais.

Ao longo de um mês, entre os clientes que concordaram em compartilhar dados, a Material registrou 68.676 mensagens da campanha bloqueadas, 2.112 URLs maliciosos únicos e 897 domínios derrubados. Também contabilizou 8.570 endereços de remetentes comprometidos em 6.354 domínios raiz. A empresa observou que esses números não representam o alcance total da campanha.

A Material afirma que, posteriormente, as iscas deixaram de ser convites de calendário e passaram a ser convites de compartilhamento de arquivos e documentos do Google Drive, enquanto a atividade do grupo parecia se dispersar. A empresa descreveu a campanha como aparentemente encerrada, mas alertou que sua infraestrutura é barata de reconstruir. A análise também encontrou uma ramificação inacabada para o Microsoft 365 na estrutura dos atacantes, embora esses caminhos não estivessem ativos.

Fontes: BleepingComputer.