In questo articolo Indice dei contenuti 3 sezioni
Una campagna di phishing su Google Calendar sta sottraendo sessioni Google attive agli utenti aziendali da metà agosto 2026, riuscendo ad aggirare anche l’autenticazione a più fattori. L’operazione è stata pensata nei dettagli perché ogni segnale su cui di solito si fa affidamento per valutare un link restituisse un responso rassicurante. Il team di ricerca di Material Security l’ha individuata, l’ha battezzata Operation CloudFire e nel frattempo ha fatto chiudere centinaia di domini usati dagli aggressori.
Inviti di calendario e link che sembrano puliti
L’esca arriva sotto forma di invito di Google Calendar, talvolta in copia nascosta e spesso da un’organizzazione con cui il destinatario ha già avuto scambi. I pretesti sono quotidiani e poco sospetti: notifiche di messaggi vocali, richieste di offerta o di informazioni, citazioni in tribunale e avvisi di pagamenti mancati. La maggior parte dei collegamenti punta proprio a Google, sfruttando il suo sistema di reindirizzamento con la vera destinazione nascosta nei parametri. Altre ondate hanno usato share.google e i link ai file di Drive, mentre una variante si appoggiava alle notifiche di transazione di Intuit. Così dominio, certificato e reputazione risultano sempre legittimi.
Il cuore della truffa è un reverse proxy posizionato davanti alla vera pagina di accesso di Google. La vittima inserisce la password, riceve una richiesta autentica e la approva mentre l’operatore osserva la sessione in tempo reale. Il server inoltra a Google codici SMS, codici delle app di autenticazione, la verifica numerica e perfino il recupero dell’account tramite telefono, quindi nessun secondo fattore ferma il furto. Il framework utilizzato si chiama Nyasher ed è documentato pubblicamente da febbraio, dopo la scoperta di una chiave scritta in chiaro nel suo codice JavaScript.
Tre i livelli che rendono tutto invisibile ai controlli. C’è il reindirizzamento di Google, poi una verifica Cloudflare Turnstile, in alcuni casi autentica, e infine la pagina che cattura la password, generata dal browser solo dopo aver superato la verifica. Un crawler non trova nulla da scaricare e un log non registra niente. L’infrastruttura è usa e getta: i domini venivano registrati pochi giorni prima e un certificato è stato emesso addirittura 46 minuti prima del dominio stesso. Bloccare un singolo componente costa all’aggressore pochi euro e un pomeriggio di lavoro.
Come è stata contrastata la campagna
Dall’avvio delle rilevazioni l’azienda ha intercettato oltre il 99% dei messaggi malevoli, con un tasso di riclassificazione dello 0,01%, mentre l’aggressore cambiava di continuo tecniche, temi e testi. Il metodo funziona perché nessun indicatore decide da solo: vengono valutati segnali tecnici, intento apparente del messaggio, destinazione reale dei link e relazione con il mittente. Anche gli inviti di calendario sono trattati come superficie d’attacco, cosa che i classici filtri per la posta in transito faticano a fare.
Quando a essere rubata è una sessione attiva e non una semplice password, le tracce compaiono nei log di Workspace. Una sessione viva dà accesso a posta, Drive e alla possibilità di concedere autorizzazioni OAuth a nome della vittima. Per questo conta sapere chi controlla quei registri e se il team riesce a revocare le sessioni, contenere le autorizzazioni e reimpostare l’account entro un’ora. Molte organizzazioni non ci riescono.
A fine settembre è partita la fase offensiva contro l’infrastruttura. Gli URL venivano analizzati durante l’invio e segnalati a Cloudflare, che dopo la verifica mostrava un avviso di phishing al posto del modulo per le credenziali, a beneficio di chiunque cliccasse. In un mese sono stati bloccati 68.676 messaggi, analizzati 2.112 URL e chiusi 897 domini. Gli indirizzi mittenti compromessi erano 8.570 su 6.354 domini, con un ritmo d’invio che seguiva gli orari lavorativi statunitensi.
Lo stato attuale e la prossima mossa
I temi si sono ora spostati dagli inviti di calendario alle condivisioni di file e documenti su Google Drive, e l’attività del gruppo sembra essersi dispersa. La campagna appare conclusa, ma ricostruire l’infrastruttura costa poco. L’operatore ha già preparato un ramo incompiuto dedicato a Microsoft 365, con un foglio di stile, un secondo modulo e un titolo che rimanda a una schermata di accesso Microsoft. Nessuno di questi percorsi oggi è attivo e per aggiungere il nuovo marchio basterebbe inserire un file senza modificare il codice. Secondo Material Security la rotazione dei temi è un’evoluzione e la prossima mossa somiglierà molto a questa, con un marchio diverso.
Fonte: TecnoAndroid