Golpes por convites de calendário roubam sessões do Google e furam autenticação

Uma nova operação criminosa consegue roubar sessões ativas de usuários corporativos do Google por meio de convites de calendários falsos. A investida foi descoberta por pesquisadores da empresa de segurança Material Security, que monitora o esquema desde meados de agosto. O caso ganhou o apelido de

Uma nova operação criminosa consegue roubar sessões ativas de usuários corporativos do Google por meio de convites de calendários falsos. A investida foi descoberta por pesquisadores da empresa de segurança Material Security, que monitora o esquema desde meados de agosto. O caso ganhou o apelido de “Operação CloudFire” . Os invasores utilizam endereços conhecidos ou mensagens enviadas com cópia oculta para despistar os alvos. Os pretextos incluem avisos de correio de voz, convites para envio de propostas comerciais, intimações judiciais e notificações de pagamento pendentes. Ao clicar no link da mensagem, a vítima é redirecionada por caminhos legítimos do Google ou do serviço Cloudflare , o que faz com que os sistemas automáticos de defesa considerem o endereço seguro. Como funciona o roubo em tempo real O golpe utiliza uma infraestrutura que intercepta os dados na hora em que o usuário tenta acessar a conta. Os operadores executam um servidor proxy (o endereço fraudulento e de fachada) que fica posicionado exatamente na frente da página legítimo de login do Google . Quando digita a senha, a vítima recebe o pedido de verificação em duas etapas, a exemplo de códigos por mensagem de texto, aplicativos autenticadores ou confirmação numérica no celular. O sistema repassa tudo instantaneamente para o Google. Esse procedimento permite que o invasor aprove o acesso junto à vítima e assuma o controle da sessão sem que os mecanismos de segurança tradicionais bloqueiem a ação criminosa. Segundo a Material Security, a abordagem difere de ataques comuns por contornar a reputação dos domínios. “O golpe funciona porque nenhum sinal isolado decide o resultado”, explicam os pesquisadores, no relatório técnico . A reputação isolada não não detectaria isso, e a análise de links também não, já que o primeiro salto usa um endereço legítimo do Google e a página final só existe quando o navegador constrói o código. Impacto das empresas e remoção de endereços Como a sessão inteira é capturada e não apenas a senha, o invasor ganha acesso a e-mails, arquivos no Google Drive e permissões para considerar acesso de aplicativos em nome da vítima. Essa brecha apresenta riscos graves para as organizações, como: Controle total do ambiente: o cibercriminoso pode ler, apagar e enviar mensagens no nome da vítima, além de consultar documentos confidenciais salvos no Google Drive ; Acesso ao sistemas integrados: o invasor ganha a capacidade de conceder permissões para aplicativos maliciosos (OAuth grants) dentro da conta ao abrir portas permanentes na rede de organização; Dificuldade de detecção imediata: como acesso ocorre com credenciais reais aprovadas pela vítima na verificação em etapas, os alertas comuns de segurança, muitas vezes, não acusam a invasão de imediato, o que dá tempo para a extração de dados por parte dos invasores. Diante do avanço das investidas, a empresa Material Security iniciou uma operação em parceria com a Cloudflare para derrubar centenas de domínios maliciosos utilizados pelo grupo. A medida obrigou os cibercriminosos a registrarem novos endereços constantemente, embora os pesquisadores alertem que a estrutura pode ser reerguida com baixo custo. “A reconstrução da infraestrutura é barata, a estrutura térmica já estava disponível publicamente e os criminosos adaptaram os códigos rapidamente para novos alvos”, destacam os especialistas, ao reforçarem a necessidade de monitoramento contínuo dos registros de acesso nas corporações. Orientações de defesa Os pesquisadores da Material Security destacam a necessidade de as equipes de segurança adotarem abordagens mais dinâmicas nas corporações. Um ponto central é a revisão rápida dos logs de auditoria (registros que detalham todas as atividades, acessos e movimentações) e exigir que empresas monitorem e auditem com agilidade os dados de acesso ao Workspace para identificar ações anômalas. A capacidade de resposta em tempo hábil cobra das equipes assertividade para revogar sessões ativas, conter concessões indevidas de aplicativos e redefinir contas comprometidas em menos de uma hora, antes que o invasor cause danos profundos ao sistema. O relatório também identifica que é preciso tratar convites de calendário como ameaças, pois a campanha explora essa superfície, que é constantemente ignorada pelos filtros de segurança (gateways) tradicionais do e-mail. A orientação é que as defesas analisem o formato considerando o histórico completo da conta e os sinais técnicos de envio. Siga o TecMundo no X , Instagram , Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.