In questo articolo Indice dei contenuti 3 sezioni
Un semplice invito su Google Calendar può diventare il primo passo di un attacco capace di sottrarre l’accesso a un account Google, perfino quando è attiva l’autenticazione a più fattori. Il calendario non ha alcuna falla e le difese di Google non vengono scavalcate grazie a un difetto tecnico. I criminali sfruttano invece una tecnica di phishing che si inserisce nel processo di accesso e permette di impossessarsi di una sessione già autorizzata.
La campagna è attiva almeno dalla metà di agosto 2026 e prende di mira soprattutto gli utenti aziendali di Google Workspace. A documentarla sono stati i ricercatori di Material Security, che hanno chiamato l’operazione di contrasto Operation CloudFire. La vicenda mostra bene quanto sia cambiato il modo di rubare gli account. Accanto al phishing tradizionale, basato su una falsa pagina di login creata per carpire le password, oggi circolano strumenti molto più sofisticati. La vittima si trova davanti una schermata di accesso dall’aspetto del tutto normale, completa la verifica in due passaggi e senza accorgersene consegna una sessione valida a qualcun altro.
Inviti fasulli e sessioni intercettate in tempo reale
La prima particolarità riguarda il canale usato per arrivare alle vittime. Gli aggressori spediscono inviti di calendario fraudolenti, spesso da indirizzi che il destinatario conosce già, e a volte in copia conoscenza nascosta (BCC), un espediente che rende più difficile ricostruire l’elenco dei destinatari. Gli oggetti richiamano situazioni di tutti i giorni come notifiche di messaggi vocali, richieste commerciali, documenti giudiziari o pagamenti non effettuati. Chi riceve il messaggio ha quindi un motivo credibile per cliccare sul collegamento. Gli indirizzi impiegati per la diffusione appartenevano a caselle già finite sotto il controllo dei criminali, e gli inviti raggiungevano anche i contatti presenti nelle rubriche delle vittime precedenti. Così il mittente sembrava affidabile.
Il cuore dell’operazione è un reverse proxy malevolo piazzato tra il browser e il servizio di autenticazione di Google. Si tratta della tecnica nota come Adversary in the Middle (AiTM), in cui l’aggressore si interpone nella comunicazione, inoltra le richieste al servizio autentico e rimanda le risposte al browser. Quando l’utente digita nome e password, il proxy le passa a Google. Se serve un controllo aggiuntivo tutto procede come sempre, che si tratti di un codice via SMS, di un codice generato da un’app di autenticazione o di una conferma sullo smartphone, inclusa la selezione del numero proposta da Google. Il truffatore non ha bisogno di conoscere in anticipo il secondo fattore perché lascia che sia la vittima a gestirlo e ne inoltra le risposte all’istante. Alla fine il proxy può catturare i dati che identificano la sessione, come i cookie, e riutilizzarli per entrare nei servizi Google senza ripetere subito la verifica multifattore.
Nyasher e un’infrastruttura pensata per sfuggire ai controlli
Secondo l’analisi tecnica la piattaforma si basa su Nyasher, un framework la cui esistenza era nota pubblicamente da febbraio 2026, dopo la scoperta di una chiave incorporata nel codice JavaScript. Nel loro white paper i ricercatori descrivono i componenti usati per distribuire le pagine fasulle e gli accorgimenti per ostacolare l’analisi automatica. Uno di questi è una verifica Cloudflare Turnstile collocata prima della pagina che raccoglie le credenziali, in alcuni casi perfettamente autentica, cosa che rende la truffa meno facile da smascherare. Gli operatori hanno poi messo in piedi una rete di domini facilmente sostituibili, registrati presso provider diversi e spesso pochi giorni prima dell’uso. Gli endpoint destinati a ricevere i dati rubati comparivano da uno a venti giorni prima di ogni ondata. In un episodio è stato osservato un certificato TLS wildcard, valido per più sottodomini, emesso appena 46 minuti prima della registrazione del dominio principale, segno di una preparazione automatizzata e molto rapida.
Cosa si rischia e come proteggersi
Perdere una sessione di Google Workspace può costare ben più della sola posta. A seconda dei privilegi dell’account e dei controlli attivi, l’intruso può arrivare a Gmail, leggere i file su Drive e provare ad autorizzare applicazioni esterne tramite OAuth 2.0. Un’app malevola con permessi persistenti potrebbe continuare a raggiungere certe risorse anche dopo la chiusura della sessione iniziale, finché quei permessi restano validi. Per questo cambiare la password non sempre basta e conviene controllare sessioni attive, accessi recenti, applicazioni autorizzate ed eventi nei log. Un account aziendale violato può inoltre diventare la base per colpire colleghi e contatti esterni, esattamente come accaduto in questa campagna.
Le difese più solide contro questo tipo di attacco sono i metodi legati crittograficamente al sito legittimo, come le passkey basate su FIDO2/WebAuthn e le chiavi di sicurezza compatibili. Una credenziale registrata per Google non funziona su un dominio fraudolento e la sua risposta crittografica non può essere girata dal proxy verso un’origine diversa. Nemmeno una passkey però elimina ogni rischio, perché malware sul dispositivo, browser compromessi o altri modi per ottenere cookie già validi restano possibili. In azienda è utile affiancare questa protezione a controlli sugli inviti di calendario, all’analisi delle catene di reindirizzamento e al monitoraggio degli accessi sospetti, sfruttando anche le funzioni amministrative di Workspace per la gestione delle sessioni. Davanti a una compromissione il personale IT dovrebbe revocare in fretta le sessioni coinvolte, reimpostare le credenziali, esaminare le autorizzazioni OAuth e verificare eventuali modifiche alle impostazioni dell’account.
Fonte: TecnoAndroid