{"id":210152,"date":"2026-11-05T12:05:26","date_gmt":"2026-11-05T12:05:26","guid":{"rendered":"http:\/\/cordobadirecto.com\/index.php\/2026\/11\/05\/estan-utilizando-el-calendario-de-google-para-robar-cuentas-protegete-y-no-caigas-en-la-trampa\/"},"modified":"2026-11-05T12:05:26","modified_gmt":"2026-11-05T12:05:26","slug":"estan-utilizando-el-calendario-de-google-para-robar-cuentas-protegete-y-no-caigas-en-la-trampa","status":"publish","type":"post","link":"http:\/\/cordobadirecto.com\/index.php\/2026\/11\/05\/estan-utilizando-el-calendario-de-google-para-robar-cuentas-protegete-y-no-caigas-en-la-trampa\/","title":{"rendered":"Est\u00e1n utilizando el calendario de Google para robar cuentas: prot\u00e9gete y no caigas en la trampa"},"content":{"rendered":"
\n<\/p>\n

Desde mediados de agosto de 2026, una campa\u00f1a de phishing bautizada como Operation CloudFire<\/strong> viene secuestrando sesiones activas de Google entre usuarios corporativos. El cebo son invitaciones falsas de Google Calendar que, combinadas con un proxy inverso en tiempo real, permiten a los atacantes capturar contrase\u00f1as y segundos factores sin levantar ninguna alarma.<\/p>\n

La campa\u00f1a fue identificada por el equipo de Threat Research de Material Security<\/strong>, como puedes ver en su documento t\u00e9cnico<\/a>. All\u00ed explican por qu\u00e9 los filtros tradicionales no la detectan.<\/p>\n

C\u00f3mo logran las invitaciones de Calendar robar la sesi\u00f3n completa<\/h2>\n

Los correos llegan como invitaciones de Google Calendar, muchas veces en copia oculta (BCC) y desde cuentas de organizaciones con las que la v\u00edctima ya se ha escrito antes. Los pretextos son triviales: avisos de buz\u00f3n de voz, solicitudes RFP, citaciones judiciales o notificaciones de impago.<\/p>\n

La mayor\u00eda de los enlaces usan el redireccionador \/url de Google con el destino real escondido en un par\u00e1metro, aunque otras oleadas han usado share.google, archivos de Drive o notificaciones de transacciones de Intuit. Da igual la variante: el dominio, el certificado y la reputaci\u00f3n que ve el sistema de turno son siempre leg\u00edtimos.<\/p>\n

El golpe real llega despu\u00e9s. El atacante levanta un proxy inverso delante de la p\u00e1gina aut\u00e9ntica de inicio de sesi\u00f3n de Google. La v\u00edctima escribe su contrase\u00f1a, recibe el aviso en el m\u00f3vil y lo aprueba sin sospechar nada, mientras el operador observa la sesi\u00f3n en directo. El servidor reenv\u00eda a Google cada c\u00f3digo SMS, cada clave del autenticador y cada confirmaci\u00f3n de Tap-Yes<\/strong> a medida que llegan, as\u00ed que ning\u00fan segundo factor frena la captura. El framework detr\u00e1s de esta t\u00e9cnica, Nyasher<\/strong>, est\u00e1 documentado p\u00fablicamente desde febrero<\/strong>, despu\u00e9s de que se encontrara una clave codificada en su propio JavaScript.<\/p>\n

Por qu\u00e9 fallan los filtros de reputaci\u00f3n y qu\u00e9 alcanza el atacante con la sesi\u00f3n<\/h2>\n

Los sistemas de reputaci\u00f3n responden a una pregunta sobre propiedad: qui\u00e9n registr\u00f3 el dominio, qu\u00e9 m\u00e1s ha alojado y si alguien se ha quejado de \u00e9l. Operation CloudFire<\/strong> est\u00e1 construida para que esa respuesta sea siempre tranquilizadora, con tres capas: el redireccionador de Google, un desaf\u00edo de Cloudflare Turnstile (a veces el widget leg\u00edtimo de Cloudflare) y una p\u00e1gina de robo de credenciales que no existe como sitio est\u00e1tico, porque el JavaScript la construye en el navegador tras superar el desaf\u00edo.<\/p>\n

La infraestructura, adem\u00e1s, es desechable por dise\u00f1o: los dominios se\u00f1uelo se registraron d\u00edas antes de usarse, y un certificado comod\u00edn lleg\u00f3 a emitirse 46 minutos<\/strong> antes de registrar el dominio que proteg\u00eda. Seg\u00fan Material, \u00abbloquear cualquier componente le cuesta al operador unos pocos d\u00f3lares y una tarde de trabajo\u00bb.<\/p>\n

El da\u00f1o aparece cuando la sesi\u00f3n robada empieza a moverse. Con acceso en vivo, el atacante llega al correo, a Drive y puede conceder permisos OAuth<\/a> en nombre de la v\u00edctima, lo que ampl\u00eda el radio de impacto m\u00e1s all\u00e1 de la bandeja de entrada. Material plantea dos preguntas a cualquier equipo de seguridad: qui\u00e9n revisa los registros de auditor\u00eda de Google Workspace y con qu\u00e9 rapidez puede actuar. Revocar sesiones, contener permisos OAuth y restablecer la cuenta afectada en menos de una hora es el margen que importa.<\/p>\n

\"L\u00edneas
Representaci\u00f3n abstracta de c\u00f3digo inform\u00e1tico relacionado con vulnerabilidades y ataques phishing 0auth.<\/figcaption><\/figure>\n

Operation CloudFire: as\u00ed ha sido el golpe a la infraestructura y su estado actual<\/h2>\n

A finales de septiembre, Material concluy\u00f3 que ajustar reglas y reentrenar modelos no bastaba: hab\u00eda que atacar la infraestructura. Su equipo de Threat Research analiz\u00f3 las URL de las puertas de entrada y los servidores receptores, y las report\u00f3 al sistema de abuso de Cloudflare.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Desde mediados de agosto de 2026, una campa\u00f1a de phishing bautizada como Operation CloudFire viene secuestrando sesiones activas de Google entre usuarios corporativos. El cebo son invitaciones falsas de Google Calendar que, combinadas con un proxy inverso en tiempo real, permiten a los atacantes capturar contrase\u00f1as y segundos factores sin levantar ninguna alarma. La campa\u00f1a […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[42],"tags":[],"_links":{"self":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts\/210152"}],"collection":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/comments?post=210152"}],"version-history":[{"count":0,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts\/210152\/revisions"}],"wp:attachment":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/media?parent=210152"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/categories?post=210152"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/tags?post=210152"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}