05 nov Golpes por convites de calendário roubam sessões do Google e furam autenticação
Uma nova operação criminosa consegue roubar sessões ativas de usuários corporativos do Google por meio de convites de calendários falsos. A investida foi descoberta por pesquisadores da empresa de segurança Material Security, que monitora o esquema desde meados de agosto. O caso ganhou o apelido de “Operação CloudFire”.
Os invasores utilizam endereços conhecidos ou mensagens enviadas com cópia oculta para despistar os alvos. Os pretextos incluem avisos de correio de voz, convites para envio de propostas comerciais, intimações judiciais e notificações de pagamento pendentes. Ao clicar no link da mensagem, a vítima é redirecionada por caminhos legítimos do Google ou do serviço Cloudflare, o que faz com que os sistemas automáticos de defesa considerem o endereço seguro.
Como funciona o roubo em tempo real
O golpe utiliza uma infraestrutura que intercepta os dados na hora em que o usuário tenta acessar a conta. Os operadores executam um servidor proxy (o endereço fraudulento e de fachada) que fica posicionado exatamente na frente da página legítimo de login do Google.
Quando digita a senha, a vítima recebe o pedido de verificação em duas etapas, a exemplo de códigos por mensagem de texto, aplicativos autenticadores ou confirmação numérica no celular. O sistema repassa tudo instantaneamente para o Google. Esse procedimento permite que o invasor aprove o acesso junto à vítima e assuma o controle da sessão sem que os mecanismos de segurança tradicionais bloqueiem a ação criminosa.
Segundo a Material Security, a abordagem difere de ataques comuns por contornar a reputação dos domínios. “O golpe funciona porque nenhum sinal isolado decide o resultado”, explicam os pesquisadores, no relatório técnico.
A reputação isolada não não detectaria isso, e a análise de links também não, já que o primeiro salto usa um endereço legítimo do Google e a página final só existe quando o navegador constrói o código.
Impacto das empresas e remoção de endereços
Como a sessão inteira é capturada e não apenas a senha, o invasor ganha acesso a e-mails, arquivos no Google Drive e permissões para considerar acesso de aplicativos em nome da vítima. Essa brecha apresenta riscos graves para as organizações, como:
- Controle total do ambiente: o cibercriminoso pode ler, apagar e enviar mensagens no nome da vítima, além de consultar documentos confidenciais salvos no Google Drive;
- Acesso ao sistemas integrados: o invasor ganha a capacidade de conceder permissões para aplicativos maliciosos (OAuth grants) dentro da conta ao abrir portas permanentes na rede de organização;
- Dificuldade de detecção imediata: como acesso ocorre com credenciais reais aprovadas pela vítima na verificação em etapas, os alertas comuns de segurança, muitas vezes, não acusam a invasão de imediato, o que dá tempo para a extração de dados por parte dos invasores.
Diante do avanço das investidas, a empresa Material Security iniciou uma operação em parceria com a Cloudflare para derrubar centenas de domínios maliciosos utilizados pelo grupo. A medida obrigou os cibercriminosos a registrarem novos endereços constantemente, embora os pesquisadores alertem que a estrutura pode ser reerguida com baixo custo.
“A reconstrução da infraestrutura é barata, a estrutura térmica já estava disponível publicamente e os criminosos adaptaram os códigos rapidamente para novos alvos”, destacam os especialistas, ao reforçarem a necessidade de monitoramento contínuo dos registros de acesso nas corporações.
Orientações de defesa
Os pesquisadores da Material Security destacam a necessidade de as equipes de segurança adotarem abordagens mais dinâmicas nas corporações. Um ponto central é a revisão rápida dos logs de auditoria (registros que detalham todas as atividades, acessos e movimentações) e exigir que empresas monitorem e auditem com agilidade os dados de acesso ao Workspace para identificar ações anômalas. A capacidade de resposta em tempo hábil cobra das equipes assertividade para revogar sessões ativas, conter concessões indevidas de aplicativos e redefinir contas comprometidas em menos de uma hora, antes que o invasor cause danos profundos ao sistema.
O relatório também identifica que é preciso tratar convites de calendário como ameaças, pois a campanha explora essa superfície, que é constantemente ignorada pelos filtros de segurança (gateways) tradicionais do e-mail. A orientação é que as defesas analisem o formato considerando o histórico completo da conta e os sinais técnicos de envio.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.