Questo post é stato letto 390 volte!
Una recente campagna di attacchi informatici sta sfruttando Google Calendar usato come veicolo per compromettere gli account Google, inclusi quelli protetti dall'autenticazione a più fattori (MFA). Questa tecnica di phishing non sfrutta vulnerabilità dirette di Google, ma intercetta il processo di autenticazione per ottenere sessioni già autorizzate.
La campagna, attiva da metà agosto 2026, ha preso di mira principalmente gli utenti aziendali di Google Workspace ed è stata documentata dai ricercatori di Material Security, che l'hanno denominata Operation CloudFire. Questo evidenzia un'evoluzione nelle tecniche di furto degli account, che vanno oltre il tradizionale phishing basato su pagine di accesso false.
Phishing tramite Google Calendar usato per ingannare
Gli aggressori inviano inviti di calendario fraudolenti, spesso da indirizzi noti al destinatario o tramite copia conoscenza nascosta (BCC) per complicare l'identificazione. Gli oggetti degli inviti sono studiati per sembrare plausibili, come notifiche di messaggi vocali o richieste commerciali, spingendo le vittime ad aprire i collegamenti.
Un aspetto cruciale è l'utilizzo di account precedentemente compromessi per l'invio degli inviti, aumentando la probabilità che il destinatario consideri affidabile il mittente.
Come funziona il furto della sessione
L'attacco si basa su un reverse proxy malevolo, che si interpone tra il browser della vittima e il servizio di autenticazione Google. Questa tecnica, nota come Adversary-in-the-Middle (AiTM), permette all'aggressore di inoltrare le richieste e le risposte tra la vittima e Google.
Quando la vittima inserisce le credenziali e completa la verifica a due passaggi, il proxy intercetta i dati della sessione autorizzata, come i cookie. In questo modo, l'aggressore può accedere ai servizi Google senza dover ripetere l'autenticazione multifattore. Il framework utilizzato per questa operazione è Nyasher, noto da febbraio 2026.
Difendersi dagli attacchi
Il furto di una sessione autenticata può avere gravi conseguenze, consentendo l'accesso a Gmail, Drive e l'autorizzazione di applicazioni esterne. Per gli amministratori, la sola modifica della password potrebbe non essere sufficiente; è necessario verificare le sessioni attive, gli accessi recenti e le applicazioni autorizzate.
Le difese più efficaci contro il phishing AiTM includono l'uso di passkey basate su FIDO2/WebAuthn e chiavi di sicurezza compatibili. Queste tecnologie sfruttano la crittografia asimmetrica per verificare l'identità del servizio, impedendo che una credenziale registrata per Google possa essere utilizzata su un dominio fraudolento. In caso di compromissione, il personale IT dovrebbe revocare rapidamente le sessioni, reimpostare le credenziali e verificare le autorizzazioni OAuth.
Questo post é stato letto 390 volte!