Una campaña de phishing que se cuela a través de invitaciones falsas de Google Calendar está diseñada para secuestrar sesiones de cuentas de Google incluso cuando sus titulares tienen activada la verificación en dos pasos. La ha documentado el equipo de investigación de amenazas de Material Security, empresa estadounidense de seguridad para correo y Google Workspace, que la ha bautizado como «Operation CloudFire». Según sus datos, la actividad arrancó a mediados de agosto de 2026 y se apoya en un proxy inverso que retransmite en tiempo real la contraseña y el segundo factor de la víctima a la página de inicio de sesión auténtica de Google.
Las claves de la campaña de phishing con Google Calendar en 30 segundos
- Qué pasa: invitaciones de calendario falsas llevan a una copia en directo del inicio de sesión de Google.
- Quién lo cuenta: Material Security, que llama a la operación CloudFire y la vincula al kit Nyasher.
- Cifras: 68.676 mensajes bloqueados y 897 dominios retirados en un mes, solo entre sus clientes.
- Por qué importa: SMS, códigos de app y números coincidentes no frenan el robo de la sesión; las llaves de acceso sí cambian el escenario.
La información se ha difundido a través de BleepingComputer en una pieza patrocinada y firmada por la propia Material Security, no en un artículo de la redacción del medio. Ese detalle conviene tenerlo presente: las cifras de la campaña proceden de la telemetría de los clientes de la compañía y no han sido verificadas por terceros, y la pieza no incluye ninguna valoración de Google. Aun así, la técnica descrita encaja con un tipo de ataque bien conocido y documentado, el llamado adversary-in-the-middle (AiTM, adversario en medio), que opensecurity.es ya explicó con detalle al analizar cómo Evilginx roba la sesión aunque haya MFA.
Así funciona la cadena de Operation CloudFire
El primer contacto llega como una invitación de Google Calendar. Según Material, en ocasiones se envía en copia oculta y con frecuencia desde organizaciones con las que la víctima ya se cartea, porque los atacantes usan buzones previamente comprometidos. Los pretextos son los de siempre en el fraude corporativo: un aviso de buzón de voz, una solicitud de propuesta o de información (RFP o RFI, en la jerga de compras), una citación judicial o un supuesto pago pendiente.
Los enlaces no apuntan directamente al dominio malicioso. Pasan antes por el redirector /url del propio Google y, en algunas oleadas, por direcciones de share.google, enlaces a archivos de Google Drive o enlaces de transacciones de Intuit. El objetivo es que los filtros que miran la reputación del dominio o el certificado vean solo destinos de confianza. Después, un desafío Cloudflare Turnstile separa a las personas de los rastreadores automáticos y deja fuera a buena parte de los analizadores de seguridad.
La pieza central es el proxy inverso. La víctima no ve una imitación estática, sino la página real de inicio de sesión de Google servida a través de la infraestructura del atacante. Introduce su contraseña, aprueba los avisos y el operador, que según Material vigila la sesión en directo, reenvía a Google los códigos SMS, los de la aplicación autenticadora, la coincidencia de números o la recuperación por teléfono. Cuando Google emite la cookie de sesión, esta queda en manos del intermediario, que ya puede entrar en la cuenta sin volver a pedir el segundo factor.
Material atribuye la campaña a un kit llamado Nyasher, que según la empresa se documentó públicamente en febrero de 2026 a raíz de una clave incrustada en su código JavaScript. opensecurity.es no ha podido localizar esa documentación previa por otras vías, así que el nombre del kit y su historia deben leerse como atribución de Material. La compañía añade que las páginas de captura se montan en el navegador, de modo que no hay un HTML estático que inspeccionar, y que los dominios señuelo se registran a menudo pocos días antes de usarse.
Las cifras y lo que no se sabe todavía
En un mes de actividad, y siempre con datos de sus clientes, Material asegura haber bloqueado 68.676 mensajes de la campaña, analizado 2.112 URL maliciosas únicas y conseguido retirar 897 dominios. También contabiliza 8.570 direcciones remitentes comprometidas repartidas en 6.354 dominios raíz, y observa que los envíos seguían el horario laboral de Estados Unidos. La propia empresa advierte de que el total real probablemente es mayor, porque solo ve lo que llega a quienes usan su producto.
Para desmontar parte de la infraestructura, el equipo de Material notificó las URL de pasarela y de servidor al sistema de abusos de Cloudflare, que las validó y les aplicó su página de advertencia de phishing. Eso obligó al operador a registrar dominios nuevos y a reapuntar sus servidores. La empresa sostiene que los temas de los señuelos han derivado después hacia invitaciones para compartir documentos de Google Drive, que la actividad parece haberse dispersado y que el kit tiene una rama para Microsoft 365 aún sin activar. Esto último es una previsión de Material, no un ataque observado.
Hay varias preguntas sin respuesta. No se conoce el número de cuentas efectivamente comprometidas, ni si hubo víctimas fuera de Estados Unidos, ni cuántas organizaciones resultaron afectadas. Tampoco se ha publicado una respuesta de Google. El abuso de las invitaciones de calendario, por otro lado, no es nuevo: este medio ya contó a finales de 2025 que el phishing del calendario volvía con fuerza porque el enlace aparece en la agenda aunque el correo no se llegue a abrir.
Qué frena de verdad este tipo de ataque
El robo de cookies de sesión está catalogado por MITRE ATT&CK como técnica T1539, y su combinación con un proxy AiTM es precisamente lo que permite saltarse los segundos factores basados en códigos o aprobaciones. Lo que sí resiste es la autenticación ligada al dominio. Google explica en su blog de Workspace que las llaves de acceso (passkeys) son por naturaleza más resistentes al phishing, porque cada una está vinculada a un sitio concreto y el usuario no puede entregarla a un atacante aunque se equivoque de página. Lo mismo vale para las llaves de seguridad físicas FIDO2.
Google también ofrece en beta abierta las credenciales de sesión ligadas al dispositivo (DBSC, por sus siglas en inglés), que en Chrome para Windows atan la cookie al equipo donde se inició sesión y dificultan reutilizarla en otro. En el lado del calendario, la opción «Añadir invitaciones a mi calendario» permite elegir «Solo si el remitente es conocido», es decir, contactos, personas de la misma organización o con las que ya se ha interactuado. Hay un matiz importante: esta campaña usa buzones comprometidos de organizaciones con relación previa, así que ese ajuste reduce el ruido, pero no basta por sí solo.
Desde el 14/08/2026 los administradores de Google Workspace pueden fijar, por unidad organizativa, el nivel menos restrictivo que los usuarios pueden escoger en ese ajuste. Material, por su parte, recomienda tratar las invitaciones de calendario como una superficie de ataque propia, revisar los registros de auditoría de Workspace y estar en condiciones de revocar sesiones, contener permisos OAuth y restablecer cuentas afectadas en torno a una hora después de detectar el incidente.
Preguntas frecuentes
¿Qué es Operation CloudFire?
Es el nombre que Material Security da a una campaña de phishing activa desde mediados de agosto de 2026 que usa invitaciones falsas de Google Calendar para llevar a las víctimas a un proxy que roba su sesión de Google.
¿Por qué no sirve la verificación en dos pasos?
Porque el atacante reenvía en tiempo real a Google la contraseña y el código o la aprobación que introduce la víctima, y se queda con la cookie de sesión resultante. Los SMS, los códigos de aplicación y la coincidencia de números no impiden ese reenvío.
¿Las llaves de acceso protegen frente a este ataque?
Google sostiene que las llaves de acceso son más resistentes al phishing porque están ligadas al sitio legítimo y no pueden entregarse a una página intermedia. Las llaves de seguridad FIDO2 siguen el mismo principio.
¿Ha respondido Google a la campaña?
La publicación de BleepingComputer, patrocinada por Material Security, no incluye ninguna declaración de Google sobre esta campaña.
Fuentes:
- BleepingComputer: Google Calendar phishing campaign hijacks sessions, bypasses MFA (contenido patrocinado por Material Security)
- Material Security: informe técnico sobre phishing con invitaciones de calendario
- Ayuda de Google Calendar: denunciar invitaciones y eventos inapropiados
- Google Workspace Updates: nuevos controles de administrador para añadir invitaciones a Google Calendar (14/08/2026)
- Google Workspace Blog: passkeys y DBSC contra el robo de cuentas
- MITRE ATT&CK: T1539, Steal Web Session Cookie
