Zaproszenia z Kalendarza Google przejmują firmowe sesje mimo drugiego składnika

Od połowy sierpnia 2026 operacja phishingowa przejmuje aktywne sesje firmowych kont Google, a żaden rodzaj drugiego składnika jej nie zatrzymuje. Kampanię wykrył zespół Threat Research firmy Material Security, który w ramach Operation CloudFire zdjął setki domen atakujących.

Wiadomości przychodzą jako zaproszenia z Kalendarza Google, czasem w ukrytej kopii i często od organizacji, z którą odbiorca już korespondował. Pretekst jest celowo nudny: wiadomość głosowa, zapytanie ofertowe, wezwanie do sądu, zaległa płatność. Linki prowadzą przez przekierowanie /url Google, share.google, pliki z Dysku albo powiadomienia Intuit, więc domena, certyfikat i reputacja wyglądają czysto. Po kliknięciu ofiara trafia na odwrócone proxy działające przed prawdziwą stroną logowania Google. Stoi za tym framework Nyasher, opisany publicznie od lutego.

Kogo dotyczy

Firmowych użytkowników kont Google. Według badaczy przechwycenia sesji nie zatrzymują kody SMS, kody z aplikacji uwierzytelniającej, potwierdzenie Tap-Yes z dopasowaniem liczby ani odzyskiwanie konta przez telefon, bo serwer atakującego przekazuje każdy z nich do Google na bieżąco.