{"id":821,"date":"2026-11-09T08:40:28","date_gmt":"2026-11-09T08:40:28","guid":{"rendered":"https:\/\/cgcspain.com\/phishing-google-calendar-secuestro-sesiones-mfa\/"},"modified":"2026-11-09T08:40:28","modified_gmt":"2026-11-09T08:40:28","slug":"phishing-google-calendar-secuestro-sesiones-mfa","status":"publish","type":"post","link":"https:\/\/cgcspain.com\/en\/phishing-google-calendar-secuestro-sesiones-mfa\/","title":{"rendered":"Phishing por Google Calendar: as\u00ed se secuestran sesiones corporativas y se esquiva el MFA"},"content":{"rendered":"<p>Desde mediados de agosto de 2026, una campa\u00f1a de phishing ha estado robando sesiones activas de Google a usuarios corporativos mediante invitaciones de Google Calendar, y lo hace aunque la cuenta tenga autenticaci\u00f3n multifactor. Importa a las empresas espa\u00f1olas porque el ataque no se apoya en dominios sospechosos ni en contrase\u00f1as robadas, sino en la sesi\u00f3n ya autenticada, y eso reduce el valor de varias defensas habituales.<\/p>\n<p>El an\u00e1lisis procede de <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/google-calendar-phishing-campaign-hijacks-sessions-bypasses-mfa\/\" target=\"_blank\" rel=\"noopener\">BleepingComputer<\/a>, en un art\u00edculo patrocinado y redactado por Material Security, el proveedor que identific\u00f3 la campa\u00f1a y la bautiz\u00f3 como Operation CloudFire. Conviene leer las cifras con ese matiz: son datos del propio proveedor y proceden solo de clientes que aceptaron compartirlos.<\/p>\n<h2>Un se\u00f1uelo que parece leg\u00edtimo en todos los pasos<\/h2>\n<p>Los mensajes llegan como invitaciones de Google Calendar, a veces por copia oculta, y con frecuencia desde una organizaci\u00f3n con la que el destinatario ya ha tenido contacto. Los pretextos son cotidianos:<\/p>\n<ul>\n<li>Notificaciones de buz\u00f3n de voz.<\/li>\n<li>Solicitudes de propuesta o de informaci\u00f3n (RFP y RFI).<\/li>\n<li>Citaciones judiciales.<\/li>\n<li>Avisos de pagos no realizados.<\/li>\n<\/ul>\n<p>La mayor\u00eda de los enlaces apuntan a Google. El patr\u00f3n habitual usa el redirector \/url de Google con el destino real como par\u00e1metro, aunque otras oleadas emplearon share.google y enlaces de Drive, y una variante utiliz\u00f3 notificaciones de transacciones de Intuit. Al analizar el mensaje, el dominio, el certificado y la reputaci\u00f3n resultan leg\u00edtimos.<\/p>\n<h2>C\u00f3mo se salta el MFA: un proxy inverso delante del login real<\/h2>\n<p>El atacante coloca un proxy inverso activo delante de la p\u00e1gina real de acceso de Google. La v\u00edctima introduce su contrase\u00f1a, recibe una solicitud genuina y la aprueba, mientras el operador observa la sesi\u00f3n en tiempo real.<\/p>\n<p>El servidor retransmite a Google, seg\u00fan llegan, los c\u00f3digos SMS, los c\u00f3digos del autenticador, la coincidencia de n\u00fameros de Google y la recuperaci\u00f3n de cuenta por tel\u00e9fono. Por eso ninguno de esos segundos factores impide capturar la sesi\u00f3n. El framework utilizado, Nyasher, est\u00e1 documentado p\u00fablicamente desde febrero.<\/p>\n<p>La cadena tiene tres capas: el redirector de Google, un desaf\u00edo Cloudflare Turnstile (en algunas versiones, el widget aut\u00e9ntico servido desde Cloudflare) y una p\u00e1gina de captura que se construye con JavaScript en el navegador. Esa \u00faltima no tiene una web est\u00e1tica que un rastreador pueda analizar.<\/p>\n<h2>Infraestructura desechable y remitentes comprometidos<\/h2>\n<p>La infraestructura est\u00e1 pensada para gastarse. Muchos dominios se registraron d\u00edas antes de usarse y los puntos de recepci\u00f3n se preparaban entre uno y veinte d\u00edas antes de cada oleada. Bloquear un \u00fanico componente le cuesta al operador unos pocos d\u00f3lares y una tarde de trabajo.<\/p>\n<p>Material afirma que, durante un mes de Operation CloudFire, registr\u00f3:<\/p>\n<ul>\n<li>68.676 mensajes de campa\u00f1a bloqueados.<\/li>\n<li>2.112 URL maliciosas \u00fanicas analizadas.<\/li>\n<li>8.570 direcciones de remitente comprometidas, repartidas en 6.354 dominios ra\u00edz.<\/li>\n<li>Un ritmo de env\u00edo ajustado al horario laboral de Estados Unidos.<\/li>\n<\/ul>\n<p>Cada cuenta comprometida enviaba invitaciones a los contactos guardados de la v\u00edctima, de modo que el receptor ve\u00eda un nombre conocido, un dominio con historial limpio y una hora plausible. Seg\u00fan el proveedor, la acci\u00f3n coordinada con Cloudflare contribuy\u00f3 a desmantelar cerca de 900 dominios.<\/p>\n<h2>Lo que cambia para la defensa<\/h2>\n<p>La lecci\u00f3n principal es que ninguna se\u00f1al aislada basta. La reputaci\u00f3n del dominio no habr\u00eda detectado esta campa\u00f1a, y el an\u00e1lisis de enlaces tampoco, porque el primer salto es una URL de Google y la p\u00e1gina final no existe hasta que el navegador la construye. Material combina indicadores t\u00e9cnicos, la intenci\u00f3n aparente del mensaje, el destino real de los enlaces y la relaci\u00f3n previa con el remitente.<\/p>\n<p>Tambi\u00e9n importa d\u00f3nde se analiza. Una invitaci\u00f3n de calendario encaja mal con una pasarela pensada para inspeccionar correo en tr\u00e1nsito, as\u00ed que el calendario debe tratarse como superficie de ataque propia.<\/p>\n<p>Si el resultado es una sesi\u00f3n secuestrada y no una contrase\u00f1a robada, la evidencia queda en los registros de auditor\u00eda de Workspace. Una sesi\u00f3n activa da acceso al correo, a Drive y a la posibilidad de conceder acceso OAuth en nombre de la v\u00edctima, de modo que el impacto va mucho m\u00e1s all\u00e1 de la bandeja de entrada.<\/p>\n<p>Material considera que la campa\u00f1a parece terminada, pero no que est\u00e9 cerrada. Los temas han pasado de las invitaciones de calendario a invitaciones para compartir archivos de Drive, el framework es p\u00fablico y el operador dej\u00f3 sin activar una rama para Microsoft 365. El proveedor espera que el siguiente movimiento se parezca a este con otra marca.<\/p>\n<h2>Qu\u00e9 deber\u00edan hacer las empresas<\/h2>\n<p>Estas son las prioridades que recomendamos, con independencia de si el atacante usa Google o Microsoft:<\/p>\n<ul>\n<li><strong>Medir el tiempo de respuesta.<\/strong> Comprobar si el equipo puede revocar sesiones, contener concesiones OAuth y restablecer la cuenta afectada en menos de una hora.<\/li>\n<li><strong>Revisar los registros de auditor\u00eda.<\/strong> Definir qui\u00e9n los vigila, con qu\u00e9 alertas y con qu\u00e9 capacidad de actuaci\u00f3n.<\/li>\n<li><strong>Valorar m\u00e9todos de autenticaci\u00f3n resistentes al phishing,<\/strong> como FIDO2 o passkeys, para los perfiles m\u00e1s expuestos. Es una recomendaci\u00f3n general, no una conclusi\u00f3n de la fuente.<\/li>\n<li><strong>Incluir el calendario en el an\u00e1lisis de correo<\/strong> y no depender solo de la reputaci\u00f3n del remitente o del dominio.<\/li>\n<li><strong>Actualizar la concienciaci\u00f3n.<\/strong> Una invitaci\u00f3n de un contacto conocido ya no es se\u00f1al de confianza.<\/li>\n<li><strong>Revisar las concesiones OAuth existentes<\/strong> y limitar qui\u00e9n puede conceder acceso a aplicaciones de terceros.<\/li>\n<\/ul>\n<p>En el sector financiero y en entidades sujetas a DORA o NIS2, estos puntos conectan con la gesti\u00f3n de incidentes y la resiliencia operativa, y conviene poder demostrarlos con evidencias.<\/p>\n<p>En CGC Spain ayudamos a evaluar la exposici\u00f3n real a este tipo de ataques, a revisar la configuraci\u00f3n de identidad y de auditor\u00eda en Google Workspace y Microsoft 365, y a ensayar la respuesta a incidentes para que el plazo de una hora sea alcanzable. Si quiere contrastar su situaci\u00f3n, estaremos encantados de hablarlo.<\/p>","protected":false},"excerpt":{"rendered":"<p>Una campa\u00f1a activa desde agosto de 2026 usa invitaciones de Google Calendar y un proxy inverso para robar sesiones de Google con el MFA ya superado. Explicamos c\u00f3mo funciona y qu\u00e9 conviene revisar en una empresa.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"rank_math_title":"Phishing en Google Calendar que salta el MFA: qu\u00e9 hacer","rank_math_description":"Una campa\u00f1a de phishing usa invitaciones de Google Calendar y proxies inversos para secuestrar sesiones y eludir el MFA. Qu\u00e9 deben hacer las empresas.","rank_math_focus_keyword":"phishing Google Calendar","footnotes":""},"categories":[1],"tags":[],"cgc_area":[],"class_list":["post-821","post","type-post","status-publish","format-standard","hentry","category-uncategorized"],"_links":{"self":[{"href":"https:\/\/cgcspain.com\/en\/wp-json\/wp\/v2\/posts\/821","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cgcspain.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cgcspain.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cgcspain.com\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cgcspain.com\/en\/wp-json\/wp\/v2\/comments?post=821"}],"version-history":[{"count":0,"href":"https:\/\/cgcspain.com\/en\/wp-json\/wp\/v2\/posts\/821\/revisions"}],"wp:attachment":[{"href":"https:\/\/cgcspain.com\/en\/wp-json\/wp\/v2\/media?parent=821"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cgcspain.com\/en\/wp-json\/wp\/v2\/categories?post=821"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cgcspain.com\/en\/wp-json\/wp\/v2\/tags?post=821"},{"taxonomy":"cgc_area","embeddable":true,"href":"https:\/\/cgcspain.com\/en\/wp-json\/wp\/v2\/cgc_area?post=821"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}