Golpe 'Operação CloudFire' rouba sessões ativas de usuários corporativos do Google

Uma nova e sofisticada operação criminosa, batizada de “Operação CloudFire”, está conseguindo roubar sessões ativas de usuários corporativos do Google por meio de convites de calendário falsos. A descoberta foi feita por pesquisadores da empresa de segurança Material Security, que monitoram o esquema desde meados de agosto.

Os invasores utilizam endereços de e-mail conhecidos ou mensagens enviadas com cópia oculta para despistar os alvos. Os pretextos variam, incluindo avisos de correio de voz, convites para envio de propostas comerciais, intimações judiciais e notificações de pagamento pendentes. Ao clicar no link da mensagem, a vítima é redirecionada por caminhos legítimos do Google ou do serviço Cloudflare, o que faz com que os sistemas automáticos de defesa considerem o endereço seguro.

Como funciona o roubo em tempo real

O golpe utiliza uma infraestrutura que intercepta os dados no exato momento em que o usuário tenta acessar a conta. Os operadores executam um servidor proxy – um endereço fraudulento e de fachada – posicionado diretamente na frente da página legítima de login do Google. Quando a vítima digita a senha, o sistema solicita a verificação em duas etapas, como códigos por SMS, aplicativos autenticadores ou confirmação numérica no celular.

O sistema repassa todas as informações instantaneamente para o Google. Esse procedimento permite que o invasor aprove o acesso junto à vítima e assuma o controle da sessão sem que os mecanismos de segurança tradicionais bloqueiem a ação criminosa. Segundo a Material Security, a abordagem difere de ataques comuns por contornar a reputação dos domínios, pois nenhum sinal isolado é suficiente para detectar a fraude.

Impacto para as empresas

Como a sessão inteira é capturada, e não apenas a senha, o invasor ganha acesso a e-mails, arquivos no Google Drive e permissões para acessar aplicativos em nome da vítima. Essa brecha apresenta riscos graves para as organizações, incluindo controle total do ambiente, onde o cibercriminoso pode ler, apagar e enviar mensagens, além de consultar documentos confidenciais.

O invasor também ganha a capacidade de conceder permissões para aplicativos maliciosos (OAuth grants), abrindo portas permanentes na rede da organização. A dificuldade de detecção imediata é outro ponto crítico, pois o acesso ocorre com credenciais reais aprovadas pela vítima na verificação em etapas, o que muitas vezes impede que alertas de segurança comuns acusem a invasão de imediato, dando tempo para a extração de dados.

Orientações de defesa e próximos passos

Diante do avanço das investidas, a Material Security iniciou uma operação em parceria com a Cloudflare para derrubar centenas de domínios maliciosos. Contudo, os pesquisadores alertam que a estrutura pode ser reerguida com baixo custo, pois a infraestrutura é barata e os códigos foram adaptados rapidamente pelos criminosos.

Os pesquisadores da Material Security destacam a necessidade de as equipes de segurança adotarem abordagens mais dinâmicas. Um ponto central é a revisão rápida dos logs de auditoria e a exigência de que empresas monitorem e auditem com agilidade os dados de acesso ao Workspace para identificar ações anômalas. A capacidade de resposta em tempo hábil exige assertividade para revogar sessões ativas e redefinir contas comprometidas em menos de uma hora.

O relatório também identifica que é preciso tratar convites de calendário como ameaças, pois a campanha explora essa superfície, que é constantemente ignorada pelos filtros de segurança tradicionais do e-mail. A orientação é que as defesas analisem o formato considerando o histórico completo da conta e os sinais técnicos de envio.