A campanha maliciosa batizada de “Operação CloudFire” revelou uma estratégia sofisticada para burlar a autenticação de duas etapas (MFA) de usuários corporativos. O esquema explora os convites do Google Agenda e utiliza uma arquitetura dividida em três camadas para contornar filtros automáticos de reputação e análises estáticas. A operação foi identificada em meados de agosto pela equipe de pesquisa da empresa Material Security.
A investigação técnica detalhada no whitepaper (relatório aprofundado) da empresa afirma que o sucesso do ataque reside na combinação de três elementos: redirecionadores legítimos, desafios reais de segurança e um proxy reverso dinâmico (um servidor intermediário posicionado entre os usuários e os sistemas reais). Os pesquisadores destacam que eles devem atuar simultaneamente e em tempo real.
Anatomia das três camadas
O funcionamento técnico do esquema criminoso se apoia em uma divisão modular de infraestrutura, em que cada etapa cumpre um papel específico para evitar alertas de segurança:
Camada 1 (Isca): os convites chegam às vítimas por meio de cópia oculta (BCC) ou de contas previamente comprometidas com quem o alvo já mantinha histórico de correspondência.
