Фішинг через Google Calendar викрадав активні сесії та обходив MFA
Фішингова кампанія, що триває із середини серпня 2026 року, використовувала запрошення Google Calendar для викрадення активних сесій корпоративних користувачів Google та обходу багатофакторної автентифікації. Дослідницька команда Material Security назвала операцію Operation CloudFire і повідомила, що допомогла заблокувати сотні доменів, задіяних у цій схемі.
Як повідомляє BleepingComputer, листи надходили як запрошення до календаря, іноді через приховану копію, а відправниками були скомпрометовані облікові записи організацій, із якими адресати вже листувалися. Зловмисники використовували теми про голосові повідомлення, запити пропозицій, судові повістки або прострочені платежі.
Посилання в запрошеннях часто вели на легітимні сервіси Google, зокрема через редиректор /url, а фактична адреса була прихована в параметрі переходу. В інших хвилях застосовувалися посилання share.google, Google Drive та сповіщення про транзакції Intuit. Це дозволяло пройти первинні перевірки репутації доменів і сертифікатів.
Після переходу жертва потрапляла на сторінку, де зловмисники розміщували реверсивний проксі перед справжньою сторінкою входу Google. Користувач вводив пароль і підтверджував вхід у реальному запиті Google, тоді як оператори перехоплювали сесію. За даними Material Security, проксі пересилав SMS-коди, коди застосунків-автентифікаторів, запити Google Tap-Yes із підтвердженням номера та процедури відновлення доступу телефоном.
Material Security зазначає, що сторінка для збору даних не мала статичного вмісту: JavaScript створював її вже у браузері після проходження перевірки Cloudflare Turnstile. Інфраструктура кампанії була розрахована на швидку заміну: домени реєстрували за кілька днів до використання, а кінцеві точки готували за один-двадцять днів до відповідної хвилі розсилок.
У межах місячної операції Operation CloudFire команда проаналізувала 2112 унікальні шкідливі URL і домоглася блокування 897 унікальних доменів. Також було заблоковано 68 676 повідомлень кампанії. Ці показники ґрунтуються лише на даних клієнтів, які погодилися ними поділитися. Компанія зафіксувала 8570 скомпрометованих адрес відправників із 6354 кореневих доменів.
Дослідники повідомили, що згодом тематика фішингових повідомлень змінилася із календарних запрошень на запрошення до файлів і документів Google Drive. Активність цієї групи, за їхньою оцінкою, наразі розпорошилася, однак у виявленому фреймворку був також незавершений компонент для Microsoft 365.
- Останні
- Популярні
Новини по днях
5 листопада 2026
