Sinds augustus 2026 worden via Google Calendar phishingcampagnes live Google-sessies van zakelijke gebruikers gekaapt, waarbij multi-factor authenticatie wordt omzeild.
Sinds half augustus 2026 is er een phishingcampagne actief die live Google-sessies van zakelijke gebruikers buitmaakt. De aanvallers maken gebruik van Google Calendar-uitnodigingen als lokaas, waarbij de berichten vaak afkomstig zijn van organisaties waarmee het slachtoffer al eerder contact had. De berichten bevatten alledaagse onderwerpen zoals voicemailmeldingen, verzoeken om informatie, dagvaardingen en betalingsherinneringen. De links in deze berichten leiden meestal naar legitieme Google-domeinen, zoals de /url-redirector van Google, share.google of Drive-bestanden, waardoor ze moeilijk te onderscheiden zijn van echte berichten.
De aanval werkt via een reverse proxy die voor de echte Google-aanmeldpagina wordt geplaatst. Wanneer het slachtoffer zijn wachtwoord invoert en de multi-factor authenticatie bevestigt, wordt dit in realtime door de aanvaller gevolgd. SMS-codes, authenticatie-appcodes en andere tweede-factor methoden worden doorgestuurd naar Google, waardoor deze beveiligingslagen de sessie niet kunnen blokkeren. Deze techniek, bekend onder de naam Nyasher, is sinds februari openbaar gedocumenteerd.
De campagne is zo opgezet dat reputatiesystemen en beveiligingsscans geen verdachte signalen detecteren. De infrastructuur bestaat uit drie lagen: de Google-redirector, een Cloudflare Turnstile-uitdaging en de dynamisch gegenereerde phishingpagina. Deze pagina wordt pas in de browser opgebouwd nadat de gebruiker de uitdaging heeft doorstaan, waardoor automatische scanners geen inhoud kunnen analyseren. De gebruikte domeinen zijn vaak kort geleden geregistreerd en worden na gebruik weggegooid, wat het blokkeren ervan kostbaar en tijdrovend maakt voor verdedigers.
Het beveiligingsteam van Material volgt de campagne sinds het begin en heeft inmiddels honderden gebruikte domeinen offline gehaald. Door voortdurende aanpassingen in de aanvalsmethoden is het een uitdaging om de phishingberichten te detecteren, maar sinds augustus wordt meer dan 99% van de kwaadaardige berichten succesvol onderschept. Deze aanpak toont aan dat het combineren van meerdere signalen noodzakelijk is om dergelijke geavanceerde phishingcampagnes te bestrijden.
