Campanha de phishing via Google Calendar sequestra sessões e contorna MFA
Convites fraudulentos do Google Calendar, com pretextos como avisos de correio de voz, intimações e cobranças em atraso, levam vítimas a um proxy reverso que captura credenciais e códigos de MFA do Google Workspace em tempo real. A operação, batizada 'Operation CloudFire' pela Material Security, já derrubou cerca de 900 domínios usados pelos atacantes para sequestrar sessões corporativas.
A campanha, ativa desde pelo menos agosto de 2026, usa convites de Google Calendar como isca inicial porque chegam com a credibilidade de uma notificação legítima do Google e frequentemente contêm links que passam por redirecionadores reais do próprio Google, dificultando a filtragem por gateways de e-mail tradicionais. Os pretextos escolhidos — mensagens de voicemail, solicitações de RFP/RFI, intimações judiciais, cobranças vencidas — são desenhados para gerar urgência em um contexto corporativo, levando o funcionário a clicar sem verificar o remetente.
O componente técnico central é um framework identificado como 'Nyasher', que funciona como um proxy reverso adversary-in-the-middle posicionado na frente da página de login genuína do Google. A vítima digita a senha real e completa o desafio de MFA normalmente — SMS, código do autenticador, aprovação 'Tap-Yes' ou recuperação por telefone — mas cada um desses fatores é retransmitido em tempo real pelo proxy para o Google, que então emite um cookie de sessão válido. O atacante captura esse cookie assim que ele é gerado, obtendo uma sessão autenticada completa sem jamais precisar 'quebrar' o MFA: ele simplesmente se senta no meio da conversa e herda a sessão legítima.
Isso é o que torna esse tipo de phishing mais perigoso que o phishing clássico de captura de senha: nenhum alerta de 'login suspeito' é disparado, porque do ponto de vista do Google a autenticação é genuína, feita pelo próprio usuário, no momento exato em que ele mesmo a realizou. A escala documentada por mês — mais de 68 mil mensagens bloqueadas, 897 domínios derrubados, 2.112 URLs maliciosas analisadas e 8.570 remetentes comprometidos mapeados — indica uma operação industrializada, provavelmente voltada a viabilizar fraudes subsequentes como Business Email Compromise (BEC), desvio de pagamentos e movimentação lateral dentro de organizações comprometidas.
A defesa eficaz contra esse vetor não pode depender só de MFA tradicional, já que ele é interceptável por proxy. Equipes de segurança devem revisar imediatamente os logs de auditoria do Workspace em busca de concessões OAuth novas e sessões ativas de origem anômala, revogar sessões e redefinir credenciais de contas suspeitas dentro de uma janela curta (a recomendação da Material Security é até uma hora), e migrar contas de risco para MFA resistente a phishing, como chaves de segurança FIDO2/passkeys, que vinculam a autenticação à origem (domínio) real e não são repassáveis por um proxy. Treinar usuários para desconfiar de convites de calendário com pretextos de cobrança ou intimação também reduz a taxa de cliques na isca inicial.