Minacce · 1 giorno fa
Material Security ha identificato Operation CloudFire, una campagna di phishing attiva da metà agosto 2026 che sottrae sessioni aziendali Google anche dopo l’approvazione dell’MFA. L’azienda riferisce di aver bloccato i messaggi e contribuito alla rimozione di quasi 900 domini.
Gli inviti di Google Calendar rimandano spesso a link Google legittimi, perciò la reputazione del dominio non segnala il pericolo. L’attaccante si interpone davanti alla vera pagina di accesso: inoltra a Google password e richieste MFA in tempo reale, poi cattura la sessione autenticata appena approvata dall’utente.
Per chi usa Google Workspace, un’approvazione MFA riuscita non dimostra che la sessione sia rimasta sotto il controllo dell’utente: l’accesso agli account Google e ai dati in Drive può sopravvivere al blocco dell’URL o a un semplice cambio di password. Lo stesso limite vale per altri servizi che usano domini fidati per i reindirizzamenti: il dominio visibile non certifica né la destinazione né la sicurezza della sessione.
1 fonte che coprono questa storia
Google Calendar phishing campaign hijacks sessions, bypasses MFA
A phishing campaign used Google Calendar invites, trusted redirects, and fake login pages to hijack corporate Google sessions and bypass MFA protections.
Part of the PlainSec briefing for 2026-11-05