Desde mediados de agosto de 2026, una campaña de phishing ha utilizado invitaciones de Google Calendar para secuestrar sesiones activas de Google de usuarios corporativos, según Material Security. El equipo de Threat Research de la empresa llama a la operación Operation CloudFire.
Los mensajes incluían avisos de mensajes de voz, solicitudes RFP y RFI, citaciones judiciales y notificaciones de pagos atrasados. Algunos se enviaron desde organizaciones con las que el destinatario ya había mantenido contacto. Los enlaces solían pasar por el redireccionador de Google; otras variantes utilizaron share.google, enlaces a archivos de Drive o enlaces de notificación de transacciones de Intuit.
Los atacantes colocaron un proxy inverso activo delante de la página legítima de inicio de sesión de Google. Las víctimas introducían sus contraseñas y aprobaban avisos de autenticación reales mientras el proxy reenviaba a Google códigos SMS, códigos de aplicaciones de autenticación, la verificación numérica Tap-Yes de Google y la recuperación de cuenta por teléfono. Material afirma que así los atacantes capturaban sesiones pese a esos controles de segundo factor.
Según Material, la campaña combinó redireccionamientos de confianza, en algunos casos un desafío auténtico de Cloudflare Turnstile y una página para capturar contraseñas que se generaba en el navegador del visitante. La empresa informa que, tras crear sus detecciones, interceptó más del 99 % de los mensajes maliciosos y registró una tasa de reclasificación del 0,01 %.
A finales de septiembre, Material puso en marcha Operation CloudFire para denunciar la infraestructura de la campaña ante Cloudflare. Material afirma que Cloudflare validó la intersticial falsa y la página de inicio de sesión servida a través del proxy, y después aplicó su propia intersticial contra el phishing. La fuente dice que la operación de retirada abarcó casi 900 dominios.
Comentarios
0Aún no hay comentarios. Escribe el primero.