Wprowadzenie do problemu / definicja
Nowoczesny phishing coraz częściej nie kończy się na wyłudzeniu loginu i hasła. Celem atakujących staje się przejęcie aktywnej sesji użytkownika, co pozwala ominąć choćby wieloskładnikowe uwierzytelnianie. W opisywanej kampanii wykorzystano zaproszenia Google Calendar jako wiarygodny nośnik ataku, łącząc socjotechnikę z infrastrukturą typu adversary-in-the-middle.
Taki model działania jest szczególnie niebezpieczny dla organizacji korzystających z usług chmurowych, ponieważ po przejęciu sesji napastnik może uzyskać dostęp do konta bez konieczności ponownego wpisywania kodu MFA. W praktyce oznacza to, iż choćby poprawnie wdrożone dodatkowe zabezpieczenia nie zawsze wystarczają, jeżeli przestępcy przejmą uwierzytelnioną sesję w czasie rzeczywistym.
W skrócie
Kampania była wymierzona głównie w użytkowników korporacyjnych i wykorzystywała zaproszenia Google Calendar jako przynętę. Ofiary trafiały na łańcuch przekierowań prowadzący do środowiska atakującego, które działało jako reverse proxy przed prawdziwą stroną logowania Google.
- atak nie ograniczał się do kradzieży hasła, ale przechwytywał aktywne sesje,
- mechanizm MFA był omijany dzięki pośredniczeniu w procesie logowania,
- kampania korzystała z wiarygodnych przynęt biznesowych i zaufanych kanałów dostarczenia,
- infrastruktura była rotowana, aby utrudnić blokowanie i wykrywanie.
Kontekst / historia
Kampania była obserwowana od połowy sierpnia 2026 roku. Przynęty miały charakter biznesowy i operacyjny, co zwiększało ich skuteczność w środowiskach firmowych. W treściach pojawiały się odwołania do poczty głosowej, zapytań ofertowych, wezwań sądowych czy zaległych płatności.
Istotnym elementem ataku był sam sposób dostarczenia wiadomości. Zamiast klasycznych e-maili phishingowych wykorzystywano zaproszenia kalendarzowe, nierzadko pochodzące ze skompromitowanych kont należących do znanych organizacji lub kontaktów obecnych już w książce adresowej odbiorcy. Dzięki temu atak wyglądał wiarygodnie i omijał część mechanizmów skupionych wyłącznie na analizie poczty elektronicznej.
Atakujący projektowali infrastrukturę z myślą o krótkim cyklu życia poszczególnych elementów. Domeny rejestrowano krótko przed użyciem, a endpointy uruchamiano z niewielkim wyprzedzeniem. Taka elastyczność ograniczała skuteczność blokad opartych na pojedynczych wskaźnikach kompromitacji.
Analiza techniczna
Technicznym rdzeniem kampanii był model adversary-in-the-middle oparty na reverse proxy. Po kliknięciu linku ofiara nie trafiała na prostą, statyczną kopię strony logowania, ale do środowiska, które pośredniczyło między użytkownikiem a prawdziwą usługą Google. Dla ofiary cały proces wyglądał poprawnie: pojawiał się znany formularz logowania, następnie monit o drugi składnik i kolejne etapy autoryzacji.
W tle serwer atakującego przekazywał dane do legalnej usługi i równolegle przechwytywał ciasteczka oraz tokeny sesyjne. To właśnie ten element pozwalał ominąć MFA. Napastnik nie musiał później ponownie uwierzytelniać się drugim składnikiem, ponieważ dysponował już istotną sesją utworzoną po prawidłowym zalogowaniu ofiary.
W porównaniu z klasycznym phishingiem takie podejście daje przestępcom znacznie większe możliwości. Samo hasło może być niewystarczające, jeżeli organizacja stosuje MFA, natomiast przejęty token sesyjny pozwala uzyskać dostęp do konta bez ponownego przechodzenia procesu weryfikacji.
Kampania została dodatkowo zoptymalizowana pod kątem unikania detekcji.
- wykorzystywano zaufane ścieżki przekierowań i legalne adresy pośredniczące,
- stosowano mechanizmy challenge i warstwy antybotowe,
- docelowe strony przechwytujące mogły być budowane dynamicznie po stronie przeglądarki,
- używano wielu domen, certyfikatów i endpointów, co ograniczało skuteczność prostych blokad.
Na skuteczność operacji wpływał także fakt, iż nie opierała się ona wyłącznie na złośliwej treści. Domena mogła wyglądać wiarygodnie, certyfikat był poprawny, a nadawca często pochodził z wcześniej zaufanego konta. W rezultacie tradycyjne filtry reputacyjne i klasyczne wskaźniki ostrzegawcze nie zawsze były wystarczające.
Konsekwencje / ryzyko
Przejęcie aktywnej sesji Google Workspace może skutkować czymś więcej niż dostępem do skrzynki pocztowej. Napastnik może uzyskać wgląd w pocztę, pliki przechowywane na Dysku, historię komunikacji oraz wykonywać operacje w imieniu użytkownika. To otwiera drogę do dalszej eskalacji incydentu i lateral movement w środowisku SaaS.
Szczególnie niebezpieczna jest możliwość nadawania zgód aplikacjom OAuth, rozszerzania dostępu do kolejnych zasobów oraz dalszego rozsyłania wiadomości z przejętego konta. Tego typu działania zwiększają wiarygodność kolejnych etapów kampanii i utrudniają zespołom bezpieczeństwa odróżnienie aktywności napastnika od legalnych działań użytkownika.
- kompromitacja danych biznesowych i dokumentów,
- przejęcie zaufanych relacji komunikacyjnych,
- wtórne kampanie phishingowe wysyłane z prawdziwych kont organizacji,
- nadużycie integracji SaaS i federacji tożsamości,
- utrudnione wykrywanie z uwagi na pozornie legalną aktywność.
Krytyczne jest także krótkie okno czasowe po przejęciu sesji. jeżeli organizacja nie monitoruje logów audytowych i nie potrafi gwałtownie unieważnić sesji, cofnąć zgód OAuth oraz odizolować konta, napastnik może w ciągu kilkudziesięciu minut przeprowadzić działania o wysokim wpływie biznesowym.
Rekomendacje
Organizacje korzystające z Google Workspace powinny traktować zaproszenia kalendarzowe jako pełnoprawną powierzchnię ataku. Ochrona przed podobnymi kampaniami wymaga podejścia wielowarstwowego, obejmującego zarówno prewencję, jak i szybkie reagowanie po wykryciu incydentu.
- monitorować logi audytowe pod kątem nietypowych sesji, nowych lokalizacji i anomalii urządzeń,
- wdrożyć procedury szybkiego unieważniania sesji, resetu poświadczeń i cofania tokenów aplikacyjnych,
- analizować pełny łańcuch przekierowań, a nie tylko reputację domeny,
- uwzględnić zaproszenia kalendarzowe w systemach detekcji phishingu,
- ograniczać skutki przejęcia konta poprzez zasadę najmniejszych uprawnień,
- szkolić użytkowników, iż poprawnie wyglądająca strona logowania i legalny monit MFA nie gwarantują bezpieczeństwa,
- rozważyć stosowanie metod odpornych na phishing, takich jak FIDO2 i WebAuthn,
- prowadzić hunting pod kątem podejrzanych sesji webowych, nietypowego użycia API i nagłych zmian zachowania kont.
Z perspektywy SOC kluczowa jest korelacja sygnałów z wielu warstw: relacji nadawca-odbiorca, typu wiadomości, historii konta, zachowania linków po przekierowaniach oraz aktywności po zalogowaniu. Kampanie tego typu pokazują, iż pojedynczy wskaźnik rzadko wystarcza do skutecznej detekcji.
Podsumowanie
Ataki ukierunkowane na przejęcie sesji są naturalną ewolucją phishingu i realnym wyzwaniem dla organizacji polegających wyłącznie na tradycyjnym MFA oraz filtrach reputacyjnych. Wykorzystanie Google Calendar jako kanału dostarczenia przynęty dodatkowo utrudnia wykrywanie, ponieważ omija część klasycznych punktów kontrolnych związanych z pocztą elektroniczną.
Najważniejszy wniosek jest prosty: skuteczna obrona musi obejmować nie tylko ochronę hasła, ale cały proces uwierzytelniania oraz aktywną sesję użytkownika. Bez odpowiedniej widoczności w warstwie tożsamości i bez gotowości do szybkiej reakcji choćby dobrze zabezpieczone środowisko może zostać skutecznie naruszone.
