O nouă campanie de phishing distribuită direct prin invitații în Google Calendar reușește să compromită conturile de companie și să ocolească autentificarea multifactor (MFA) prin interceptarea în timp real a token-urilor de sesiune, punând în pericol direct firmele din România care își gestionează programările și întâlnirile B2B prin agende partajate nesecurizate.
Alerta publicată de Curierul Național pe 8 noiembrie 2026, fundamentată pe investigația cercetătorilor de la Material Security (documentată sub numele „Operation CloudFire”), scoate la iveală o vulnerabilitate operațională majoră. Din august 2026 și până în prezent, atacatorii au folosit aproape 900 de domenii web (897 fiind deja neutralizate) pentru a livra notificări și invitații de calendar aparent legitime către utilizatorii Google Workspace. Pentru că notificările provin direct din infrastructura oficială Google, filtrele clasice anti-spam (SPF, DKIM, DMARC) le validează ca fiind autentice, strecurându-le direct în agenda angajaților tăi.
Cum funcționează ocolirea MFA prin proxy-uri Adversary-in-the-Middle
Mulți antreprenori și manageri presupun că activarea codurilor SMS sau a aplicațiilor de autentificare (Google Authenticator) oferă o protecție completă. În realitate, această campanie utilizează kituri avansate de tip Adversary-in-the-Middle (AiTM), precum proxy-ul Nyasher. Atacatorii inserează în descrierea sau locația evenimentului din calendar un link de redirecționare valid din ecosistemul Google, care conduce victima către un server proxy controlat de ei, plasat exact în fața paginii reale de autentificare.
Când un angajat dă clic pe link-ul unei presupuse „întâlniri cu un client nou” sau al unei „confirmări de plată” și își introduce parola, urmată de codul MFA sau confirmarea Tap-Yes pe telefon, serverul atacatorului transmite datele în timp real către Google. În secunda în care Google validează accesul, proxy-ul capturează cookie-ul de sesiune activ. Din acel moment, atacatorul preia controlul asupra contului de Gmail, Google Drive și Calendar, fără să mai aibă nevoie de parolă sau de telefonul angajatului. Este o escaladare similară ca impact cu Phishing-ul cu AI la 80%: Riscul Facturilor pe Email, unde ingineria socială speculează rutina zilnică a biroului.
Impactul operațional pentru IMM-urile din România și măsurile IT imediate
În România, mii de clinici medicale, cabinete de avocatură, agenții B2B și firme de consultanță își bazează fluxul de vânzări pe calendare deschise. Setarea implicită din Google Calendar permite adăugarea automată a invitațiilor primite de la orice adresă externă. Când un consultant de vânzări vede în agendă o programare nouă, reflexul firesc este să acceseze link-ul din descriere pentru a citi detaliile solicitării.
| Vector de analiză | Calendar deschis (Invitații externe directe) | Flux controlat (Formular Web Propriu + API) |
|---|
| Sursa evenimentului în agendă | Orice expeditor extern poate injecta un eveniment direct în calendarul angajatului. | Doar sistemul intern al companiei generează evenimentul, după validarea datelor. |
| Expunerea la link-uri AiTM | Ridicată: descrierea evenimentului poate conține URL-uri de redirecționare și pagini proxy. | Zero: câmpurile din formular sunt sanitizate și transformate în text simplu. |
| Protecția sesiunii de lucru | Vulnerabilă la furtul de token-uri prin aprobări MFA de rutină. | Angajatul nu se autentifică niciodată pe link-uri trimise de clienți necunoscuți. |
Pentru a opri expunerea imediată, echipa ta tehnică sau administratorul IT intern trebuie să aplice trei măsuri de igienă cibernetică direct din consola de administrare:
- Blocarea invitațiilor automate: Modificarea setării „Adăugați automat invitațiile” în Google Calendar, selectând opțiunea ca evenimentele să apară în agendă doar dacă expeditorul este cunoscut sau doar după ce utilizatorul a răspuns explicit invitației pe email.
- Trecerea la autentificare rezistentă la phishing: Înlocuirea codurilor SMS și a notificărilor push cu chei de securitate FIDO2/WebAuthn (Passkeys), care verifică criptografic domeniul web real și refuză autentificarea pe un server proxy AiTM.
- Monitorizarea sesiunilor active: Revocarea periodică a token-urilor OAuth suspecte și verificarea adreselor IP din care sunt accesate conturile companiei.
Arhitectura preventivă: Filtrarea programărilor prin propriul tău site web
Dincolo de setările de securitate pe care departamentul tău IT le aplică în conturile angajaților, problema de fond rămâne una de arhitectură a proceselor de business. O firmă matură nu își lasă angajații să accepte la întâmplare invitații externe pe email sau să dea clic pe documente atașate în calendar de persoane necunoscute.
Aici intervine expertiza noastră la WebReady. Pentru a elimina haosul programărilor primite pe email, construim un Website de prezentare structurat clar, care ghidează vizitatorii logic prin servicii și îi direcționează către un punct unic, controlat, de contact. Prin serviciile noastre de Creare site web prezentare București și dezvoltare de aplicații web la comandă, înlocuim dependența de link-uri externe cu formulare de programare proprii, integrate nativ în site-ul companiei tale.
Mai departe, prin Softuri Mici & Automatizări (Automatizare procese firma Cluj-Napoca), conectăm formularul de pe site direct cu baza ta de date și cu agenda internă. Când un client solicită o întâlnire pe site, micul program software validează și curăță datele introduse (eliminând orice script sau link ascuns), înregistrează cererea într-un panou centralizat și generează intern evenimentul în calendarul echipei tale. Astfel, angajații tăi văd în agendă doar întâlniri verificate și generate de propriul vostru sistem, eliminând complet riscul de a accesa o capcană de phishing strecurată din exterior.
Întrebări Frecvente
De ce nu mai este suficientă autentificarea prin SMS sau Google Authenticator în fața acestui atac?
Deoarece campania folosește un server proxy (Adversary-in-the-Middle) care se interpune în timp real între angajat și pagina legitimă Google. Când angajatul introduce codul din 6 cifre pe pagina falsă, atacatorul îl retransmite instantaneu către Google și fură cookie-ul de sesiune generat după validare.
Cum ajunge o invitație capcană în Google Calendar fără ca angajatul să o accepte?
Prin setarea implicită a aplicației Google Calendar, care adaugă automat în agendă orice eveniment la care adresa de email a fost invitată, chiar dacă expeditorul nu se află în lista de contacte și utilizatorul nu a deschis emailul de notificare.
Cum ajută un formular web personalizat la prevenirea atacurilor prin calendar?
Un formular de programare construit pe propriul site obligă potențialii clienți să introducă doar date structurate (nume, telefon, motivul întâlnirii). Un soft de automatizare preia aceste date curate și creează intern întâlnirea în agendă, permițând firmei să blocheze complet invitațiile directe venite din surse externe.