Google Calendar se utiliza en una campaña de phishing que secuestra sesiones y evita MFA

El 4 de noviembre de 2026, Material Security informó sobre Operation CloudFire, una campaña de phishing activa desde mediados de agosto que ha capturado sesiones de Google de usuarios corporativos mediante invitaciones de Google Calendar.

Los mensajes, enviados en ocasiones mediante BCC y desde organizaciones con las que la víctima ya había intercambiado comunicaciones, simulaban avisos de buzón de voz, solicitudes RFP y RFI, citaciones judiciales o notificaciones de pagos pendientes. Los enlaces solían utilizar el redireccionador /url de Google, share.google o vínculos de Google Drive, por lo que el dominio, el certificado y la reputación visibles parecían legítimos.

Tras varios pasos, la víctima llegaba a una página de inicio de sesión de Google situada detrás de un proxy inverso controlado por los atacantes. La infraestructura retransmitía en tiempo real las contraseñas, los códigos SMS y de autenticadores, la confirmación Tap-Yes con coincidencia numérica y los procesos de recuperación telefónica. De este modo, los atacantes podían obtener la sesión activa aunque la cuenta utilizara autenticación multifactor.

La campaña empleó el framework Nyasher, documentado públicamente desde febrero. Sus páginas de captura se construían mediante JavaScript en el navegador después de superar un desafío de Cloudflare Turnstile, lo que impedía que los rastreadores encontraran una página estática que analizar.

Material Security indicó que, tras identificar la campaña y crear las detecciones, bloqueó más del 99% de los mensajes maliciosos, con una tasa de reclasificación del 0,01%. Durante un mes de Operation CloudFire registró 68.676 mensajes bloqueados, 2.112 URL maliciosas, 897 dominios desmantelados y 8.570 direcciones de remitentes comprometidas distribuidas en 6.354 dominios raíz.

El secuestro de una sesión permite acceder al correo y a Google Drive, además de conceder permisos OAuth en nombre de la víctima. Material Security señaló que la respuesta debe incluir la revisión de los registros de auditoría de Workspace, la revocación de sesiones y permisos OAuth y el restablecimiento de las cuentas afectadas.

La actividad se desplazó posteriormente hacia invitaciones para compartir archivos y documentos de Google Drive, aunque Material Security no observó un aumento equivalente en otros señuelos o TTPs y consideró que la campaña parecía haber terminado. La empresa advirtió de que reconstruir la infraestructura resulta barato y de que el framework sigue disponible públicamente.

Fuente: BleepingComputer.