Operation CloudFire: новая фиishing-кампания обходит MFA и угоняет сессии Google

С середины августа 2026 года киберпреступники проводят сложную фишинговую операцию, нацеленную на захват живых сеансов Google корпоративных пользователей. Злоумышленники выстроили цепочку таким образом, что все стандартные сигналы безопасности, на которые полагаются защитные системы, возвращают легитимные и безопасные результаты.

• Фишинговые сообщения доставляются через приглашения в Google Calendar и используют доверенные перенаправления.
• Злоумышленники применяют живой обратный прокси-сервер для перехвата паролей и кодов многофакторной аутентификации (MFA).
• Инфраструктура атаки включает Cloudflare Turnstile и динамически создаваемые страницы входа.
• Исследователи из Material Security запустили операцию CloudFire и заблокировали около 900 вредоносных доменов.

Механика атаки и обход систем защиты

Сообщения приходят в виде приглашений Google Calendar, часто отправляемых через скрытую копию (BCC) с компрометированных аккаунтов организаций, с которыми жертва уже вела переписку. В качестве предлогов используются уведомления о голосовой почте, запросы RFP/RFI, судебные повестки или уведомления о пропущенных платежах. Ссылки в письмах ведут на собственный инструмент перенаправления Google (/url), службу share.google или файлы на Google Drive, что гарантирует прохождение проверок репутации доменов.

За ссылками скрывается живой обратный прокси-сервер, расположенный перед официальной страницей входа в Google. Жертва вводит свои учетные данные и успешно подтверждает запрос двухфакторной аутентификации (например, через SMS, аутентификатор или сопоставление чисел Tap-Yes). В это время злоумышленник в режиме реального времени пересылает каждый код Google, перехватывая сессию в обход всех средств защиты MFA.

Трехслойная архитектура и операция CloudFire

Атакующий фреймворк использует три уровня маскировки: первый уровень — редиректор Google, второй — вызов Cloudflare Turnstile для отсеивания ботов, третий — страница захвата пароля, которая динамически создается JavaScript в браузере жертвы. Это делает невозможным статическое сканирование страниц краулерами безопасности. Инфраструктура создается как одноразовая: домены регистрируются за несколько дней до атаки, а сертификаты выпускаются за считанные минуты до использования.

Поняв, что традиционные методы настройки правил и машинного обучения не справляются с оператором в полной мере, команда Material Security по угрозам инициировала Operation CloudFire. Проанализировав шлюзы и бэкенд-URL, исследователи передали данные в систему злоупотреблений Cloudflare. В результате было заблокировано около 900 доменов, а пользователи интернета при переходе по опасным ссылкам стали видеть предупреждения фишингового интерстиция.

Последствия для бизнеса и необходимые меры безопасности

Конечной целью атаки является не просто кража пароля, а угон полноценной сессии Google Workspace, что открывает доступ к почте, диску и возможности предоставления OAuth-доступов от имени жертвы. Область поражения выходит далеко за рамки обычного почтового ящика, нанося серьезный ущерб безопасности компаний. Эксперты рекомендуют организациям пересмотреть регламенты аудита логов и убедиться, что службы безопасности способны оперативно отзывать скомпрометированные сессии и сбрасывать учетные записи менее чем за час.