Фишинг через Google Calendar перехватывает сессии Google в обход двухфакторной защиты
Material Security выявила фишинговую операцию Operation CloudFire, которая с середины августа 2026 года собирает активные сессии Google у корпоративных пользователей. Двухфакторная защита здесь не помогает, потому что злоумышленники передают настоящие коды в реальном времени.
Главное в цифрах
- Начало кампании: середина августа 2026 года
- Доля перехваченных вредоносных писем с августа: более 99%
- Доля переклассификаций: 0,01%
- Wildcard-сертификат выпущен за 46 минут до регистрации домена
- Точки приёма создавались за 1–20 дней до волны
Письма приходят в виде приглашений в Google Calendar, часто скрытой копией (BCC) и часто от организаций, с которыми получатель уже переписывался. Темы простые: уведомления о голосовой почте, запросы RFP и RFI, судебные повестки, напоминания о пропущенных платежах.
Большинство ссылок ведёт на сам Google: типичный шаблон использует перенаправитель google.com/url с настоящим адресом в параметре. В других волнах применялись ссылки share.google и файлы Google Drive, в одном варианте использовались ссылки Intuit.
Как устроена атака
Злоумышленники ставят обратный прокси перед настоящей страницей входа Google. Жертва вводит пароль, получает настоящий запрос и подтверждает его, а оператор наблюдает за сессией в реальном времени.
Сервер передаёт в Google SMS-коды, коды приложений, запрос Tap-Yes и телефонное восстановление аккаунта по мере их поступления. Поэтому ни один из вторых факторов не останавливает захват сессии. Фреймворк Nyasher описан публично с февраля, после того как в его JavaScript нашли жёстко заданный ключ.
Почему репутационные проверки не сработали
Репутационные системы отвечают на вопросы о владельце домена, его истории и жалобах. Кампания строилась так, чтобы все эти ответы были безобидными. Цепочка состоит из трёх слоёв: перенаправитель Google, проверка Cloudflare Turnstile (в некоторых версиях настоящий виджет с инфраструктуры Cloudflare) и страница кражи пароля, которую браузер формирует уже после проверки.
Инфраструктура одноразовая. Большинство доменов регистрировались за несколько дней до использования, точки приёма создавались за 1–20 дней до волны. Один wildcard-сертификат выпустили за 46 минут до регистрации покрываемого домена. Кроме того, отправители были взломанными аккаунтами, которые рассылали приглашения контактам жертвы.
Ответ и итоги
Material Security автоматически обнаруживает такие письма и с сентября начала подавать жалобы на инфраструктуру через систему Cloudflare. Cloudflare проверила поддельные страницы и добавила к ним своё предупреждение, поэтому оператору пришлось заново регистрировать и перенастраивать точки приёма.
С августа Material поймала более 99% вредоносных писем, доля переклассификаций составила 0,01%. Компания отмечает, что по её данным активность группы рассеялась, но это статус, а не окончательный вывод: восстановить инфраструктуру злоумышленникам недорого.
