Google Calendar Kimlik Avı Kampanyası Oturumları Ele Geçiriyor ve MFA'yı Aşıyor

Material Security'ye göre, Ağustos 2026'nın ortalarından bu yana bir kimlik avı kampanyası, kurumsal kullanıcıların etkin Google oturumlarını ele geçirmek için Google Calendar davetlerini kullandı. Şirketin Tehdit Araştırma ekibi operasyona Operation CloudFire adını veriyor.

Mesajlarda sesli mesaj bildirimleri, RFP ve RFI talepleri, mahkeme celpleri ve gecikmiş ödeme bildirimleri yer aldı. Bazıları, alıcının daha önce yazıştığı kuruluşlardan gönderildi. Bağlantılar çoğunlukla Google'ın kendi yönlendirme hizmetinden geçti; diğer varyantlarda share.google, Drive dosya bağlantıları veya Intuit işlem bağlantıları kullanıldı.

Saldırganlar, gerçek Google oturum açma sayfasının önüne canlı bir ters vekil sunucu yerleştirdi. Kurbanlar parolalarını girip gerçek kimlik doğrulama istemlerini onaylarken vekil sunucu SMS kodlarını, kimlik doğrulayıcı kodlarını, Google'ın Tap-Yes numara eşleştirmesini ve telefonla hesap kurtarma adımlarını Google'a iletti. Material, bu yöntemin saldırganların söz konusu ikinci faktör kontrollerine rağmen oturumları ele geçirmesini sağladığını söylüyor.

Material'a göre kampanya; güvenilir yönlendirmeleri, bazı durumlarda gerçek Cloudflare Turnstile sınamasını ve ziyaretçinin tarayıcısında oluşturulan bir parola yakalama sayfasını bir araya getirdi. Şirket, tespit sistemlerini kurduktan sonra kötü amaçlı mesajların %99'undan fazlasını yakaladığını ve yeniden sınıflandırma oranının %0,01 olduğunu bildiriyor.

Material, Eylül sonlarında kampanya altyapısını Cloudflare'a bildirmek için Operation CloudFire'ı başlattı. Material, Cloudflare'ın sahte ara ekranı ve vekil sunucuyla açılan oturum sayfasını doğruladığını, ardından kendi kimlik avı uyarı ekranını uyguladığını söylüyor. Kaynak, kaldırma çalışmalarının yaklaşık 900 alan adını kapsadığını belirtiyor.