Sedan mitten av augusti 2026 har en nätfiskekampanj använt inbjudningar i Google Calendar för att kapa aktiva Google-sessioner från företagsanvändare, enligt Material Security. Företagets Threat Research-team kallar operationen Operation CloudFire.
Meddelandena har innehållit aviseringar om röstmeddelanden, RFP- och RFI-förfrågningar, domstolskallelser och meddelanden om försenade betalningar. Vissa skickades från organisationer som mottagaren tidigare hade haft kontakt med. Länkar gick ofta via Googles egen omdirigeringstjänst. Andra varianter använde share.google, fillänkar i Drive eller Intuit-länkar för transaktionsaviseringar.
Angriparna placerade en aktiv omvänd proxy framför den riktiga inloggningssidan för Google. Offren skrev in sina lösenord och godkände riktiga autentiseringsförfrågningar medan proxyn vidarebefordrade SMS-koder, autentiseringskoder, Googles Tap-Yes-nummermatchning och kontoåterställning via telefon. Material säger att angriparna därmed kunde kapa sessioner trots dessa kontroller med en andra faktor.
Enligt Material kombinerade kampanjen betrodda omdirigeringar, i vissa fall en äkta Cloudflare Turnstile-utmaning och en sida som fångade lösenord och skapades i besökarens webbläsare. Företaget uppger att det fångade över 99 % av de skadliga meddelandena efter att det byggt upp sina detektioner. Omklassificeringsgraden var 0,01 %.
I slutet av september började Material med Operation CloudFire rapportera kampanjens infrastruktur till Cloudflare. Material säger att Cloudflare verifierade den falska mellansidan och den proxade inloggningssidan och sedan lade till en egen nätfiskevarning. Enligt källan omfattade nedtagningsarbetet nästan 900 domäner.
Kommentarer
0Inga kommentarer ännu. Skriv den första.