Uma nova operação criminosa consegue roubar sessões ativas de usuários corporativos do Google por meio de convites de calendários falsos. A investida foi descoberta por pesquisadores da empresa de segurança Material Security, que monitora o esquema desde meados de agosto. O caso ganhou o apelido de “Operação CloudFire”.
Os invasores utilizam endereços conhecidos ou mensagens enviadas com cópia oculta para despistar os alvos. Os pretextos incluem avisos de correio de voz, convites para envio de propostas comerciais, intimações judiciais e notificações de pagamento pendentes. Ao clicar no link da mensagem, a vítima é redirecionada por caminhos legítimos do Google ou do serviço Cloudflare, o que faz com que os sistemas automáticos de defesa considerem o endereço seguro.
Como funciona o roubo em tempo real
O golpe utiliza uma infraestrutura que intercepta os dados na hora em que o usuário tenta acessar a conta. Os operadores executam um servidor proxy (o endereço fraudulento e de fachada) que fica posicionado exatamente na frente da página legítimo de login do Google.
Quando digita a senha, a vítima recebe o pedido de verificação em duas etapas, a exemplo de códigos por mensagem de texto, aplicativos autenticadores ou confirmação numérica no celular. O sistema repassa tudo instantaneamente para o Google.
