Wprowadzenie do problemu / definicja
Kampanie phishingowe coraz częściej odchodzą od klasycznego modelu kradzieży haseł i koncentrują się na przejmowaniu aktywnych sesji użytkowników. W opisywanym scenariuszu napastnicy wykorzystywali zaproszenia Google Calendar oraz infrastrukturę reverse proxy, aby pośredniczyć w legalnym procesie logowania do Google i przejąć ważną sesję po pomyślnym uwierzytelnieniu.
To szczególnie groźna technika, ponieważ może ominąć wiele tradycyjnych zabezpieczeń, w tym uwierzytelnianie wieloskładnikowe. Z perspektywy ofiary cały proces wygląda wiarygodnie, a atakujący uzyskuje dostęp nie tylko do hasła, ale przede wszystkim do gotowej, aktywnej sesji.
W skrócie
- Kampania była obserwowana od połowy sierpnia 2026 roku i była wymierzona w użytkowników Google Workspace.
- Przynęta często przychodziła jako zaproszenie Google Calendar, nierzadko wysłane z realnych, wcześniej skompromitowanych kont.
- Atak wykorzystywał legalne usługi pośredniczące, przekierowania oraz reverse proxy działające w czasie rzeczywistym.
- Napastnicy przechwytywali aktywną sesję po poprawnym logowaniu i zatwierdzeniu MFA przez ofiarę.
- Infrastruktura była dynamiczna, krótkotrwała i trudna do wykrycia klasycznymi metodami reputacyjnymi.
Kontekst / historia
Według opisu incydentu operacja była aktywna od połowy sierpnia 2026 roku i była częścią szerszych działań ukierunkowanych na przejmowanie sesji Google użytkowników biznesowych. Charakterystyczną cechą kampanii było wykorzystywanie tematów, które miały wyglądać rutynowo lub pilnie, takich jak wiadomości głosowe, zapytania ofertowe, wezwania sądowe czy informacje o zaległych płatnościach.
Skuteczność ataku zwiększało użycie prawdziwych, wcześniej przejętych kont nadawców. Dzięki temu odbiorcy widzieli znane nazwy, poprawne domeny i wiarygodny kontekst komunikacji, co znacząco obniżało ich czujność.
Badacze zwrócili też uwagę, że wykorzystywany framework phishingowy był już wcześniej publicznie dokumentowany. To oznacza, że podobne operacje mogą być relatywnie łatwo powielane przez kolejnych operatorów, również przeciwko innym platformom tożsamościowym i chmurowym.
Analiza techniczna
Atak był wieloetapowy i opierał się na połączeniu socjotechniki, legalnych usług internetowych oraz pośredniczącej infrastruktury reverse proxy. Pierwszym krokiem było dostarczenie przynęty pod postacią zaproszenia kalendarzowego albo wiadomości kierującej do rzekomego dokumentu lub zasobu.
Link początkowy często prowadził przez legalny adres Google lub mechanizm przekierowania, w którym właściwy adres docelowy był ukryty w parametrze żądania. W innych wariantach wykorzystywano również zaufane mechanizmy współdzielenia treści i plików.
Następnie ofiara trafiała na stronę pośredniczącą, czasem dodatkowo chronioną wyzwaniem anti-bot. Taki element utrudniał automatyczne skanowanie przez systemy bezpieczeństwa oraz analizę przez silniki sandboxowe i crawlery.
Kluczowy etap polegał na wykorzystaniu reverse proxy przed prawdziwą stroną logowania Google. Użytkownik widział wiarygodny ekran logowania, wpisywał dane i zatwierdzał drugi składnik uwierzytelnienia, natomiast pośrednik przekazywał cały ruch do legalnej usługi w czasie rzeczywistym.
W praktyce oznaczało to, że atakujący nie musiał łamać MFA. Zamiast tego wykorzystywał ofiarę jako aktywnego uczestnika procesu logowania i przejmował tokeny sesyjne po poprawnym uwierzytelnieniu. Taka technika jest powszechnie kojarzona z modelem adversary-in-the-middle i pozwala uzyskać dostęp do konta bez potrzeby ponownego przechodzenia pełnego procesu logowania.
Dodatkowym wyzwaniem dla obrońców była dynamiczna konstrukcja stron phishingowych. Część elementów była generowana dopiero po stronie przeglądarki, a domeny i endpointy były intensywnie rotowane. To znacząco ogranicza skuteczność statycznej analizy URL oraz blokowania opartego wyłącznie na reputacji.
Konsekwencje / ryzyko
Przejęcie aktywnej sesji Google niesie większe zagrożenie niż sam wyciek hasła. Napastnik może od razu uzyskać dostęp do poczty, plików w chmurze, dokumentów współdzielonych, kontaktów oraz historii komunikacji, a także podejmować dalsze działania w imieniu ofiary.
W środowisku Google Workspace skutki mogą objąć nie tylko pojedynczą skrzynkę, ale również dane organizacyjne i procesy biznesowe. Szczególnie niebezpieczne jest ryzyko autoryzacji aplikacji OAuth, eskalacji dostępu oraz wykorzystania przejętego konta do dalszego phishingu wewnątrz organizacji.
Istotnym problemem jest także krótki czas reakcji. Jeśli zespół bezpieczeństwa nie monitoruje sesji i logów audytowych niemal w czasie rzeczywistym, atakujący może w ciągu kilkudziesięciu minut wyprowadzić dane, ustanowić trwałość lub przygotować kolejne etapy operacji.
Rekomendacje
Organizacje korzystające z Google Workspace powinny traktować zaproszenia kalendarzowe jako pełnoprawny wektor ataku. Ochrona nie może ograniczać się wyłącznie do poczty elektronicznej, ale powinna obejmować także obiekty kalendarzowe, udostępnienia plików oraz zdarzenia związane z tożsamością.
- Monitorować logi audytowe pod kątem nietypowych sesji, anomalii geograficznych i nowych autoryzacji OAuth.
- Wdrożyć procedury szybkiego unieważniania sesji, resetu poświadczeń i cofania zgód aplikacyjnych.
- Analizować pełny łańcuch przekierowań oraz kontekst relacji nadawca–odbiorca.
- Promować phishing-resistant authentication, w tym klucze sprzętowe FIDO2/WebAuthn.
- Szkolić pracowników, aby rozpoznawali nietypowe żądania logowania i zatwierdzania MFA bez jasnego kontekstu biznesowego.
- Przygotować zespoły SOC i IR do incydentów związanych z kradzieżą sesji, a nie wyłącznie kompromitacją hasła.
Z perspektywy operacyjnej kluczowe jest też badanie, czy przejęte konto nie zostało użyte do dalszej dystrybucji przynęt. W takich przypadkach samo zresetowanie hasła może być niewystarczające, jeśli aktywne sesje i zgody aplikacyjne nie zostaną unieważnione.
Podsumowanie
Opisana kampania pokazuje wyraźną ewolucję współczesnego phishingu: z modelu nastawionego na kradzież hasła do modelu nastawionego na przejęcie sesji po legalnym logowaniu użytkownika. Wykorzystanie zaproszeń Google Calendar, zaufanych przekierowań, skompromitowanych kont nadawców i reverse proxy potwierdza, że tradycyjne sygnały reputacyjne nie wystarczają już do skutecznej ochrony.
Dla organizacji najważniejszy wniosek jest jednoznaczny: samo MFA nie zawsze zatrzyma przeciwnika działającego jako pośrednik w czasie rzeczywistym. Skuteczna obrona wymaga połączenia monitoringu tożsamości, szybkiego reagowania, analizy kontekstowej oraz wdrażania metod logowania odpornych na phishing.
Źródła
- https://thehackernews.com/2026/11/calendar-invites-and-live-proxies.html
- https://content.material.security
- https://support.google.com/a/
- https://abuse.cloudflare.com/
- https://fidoalliance.org/