- ¿Es útil una VPN para evitar ataques de phishing?
- Cómo ver rápidamente si hay algún dispositivo sospechoso conectado a tu cuenta de Google
Desde mediados de agosto de 2026, una campaña de phishing bautizada como Operation CloudFire viene secuestrando sesiones activas de Google entre usuarios corporativos. El cebo son invitaciones falsas de Google Calendar que, combinadas con un proxy inverso en tiempo real, permiten a los atacantes capturar contraseñas y segundos factores sin levantar ninguna alarma.
La campaña fue identificada por el equipo de Threat Research de Material Security, como puedes ver en su documento técnico. Allí explican por qué los filtros tradicionales no la detectan.
Cómo logran las invitaciones de Calendar robar la sesión completa
Los correos llegan como invitaciones de Google Calendar, muchas veces en copia oculta (BCC) y desde cuentas de organizaciones con las que la víctima ya se ha escrito antes. Los pretextos son triviales: avisos de buzón de voz, solicitudes RFP, citaciones judiciales o notificaciones de impago.
La mayoría de los enlaces usan el redireccionador /url de Google con el destino real escondido en un parámetro, aunque otras oleadas han usado share.google, archivos de Drive o notificaciones de transacciones de Intuit. Da igual la variante: el dominio, el certificado y la reputación que ve el sistema de turno son siempre legítimos.
El golpe real llega después. El atacante levanta un proxy inverso delante de la página auténtica de inicio de sesión de Google. La víctima escribe su contraseña, recibe el aviso en el móvil y lo aprueba sin sospechar nada, mientras el operador observa la sesión en directo. El servidor reenvía a Google cada código SMS, cada clave del autenticador y cada confirmación de Tap-Yes a medida que llegan, así que ningún segundo factor frena la captura. El framework detrás de esta técnica, Nyasher, está documentado públicamente desde febrero, después de que se encontrara una clave codificada en su propio JavaScript.
Por qué fallan los filtros de reputación y qué alcanza el atacante con la sesión
Los sistemas de reputación responden a una pregunta sobre propiedad: quién registró el dominio, qué más ha alojado y si alguien se ha quejado de él. Operation CloudFire está construida para que esa respuesta sea siempre tranquilizadora, con tres capas: el redireccionador de Google, un desafío de Cloudflare Turnstile (a veces el widget legítimo de Cloudflare) y una página de robo de credenciales que no existe como sitio estático, porque el JavaScript la construye en el navegador tras superar el desafío.
La infraestructura, además, es desechable por diseño: los dominios señuelo se registraron días antes de usarse, y un certificado comodín llegó a emitirse 46 minutos antes de registrar el dominio que protegía. Según Material, «bloquear cualquier componente le cuesta al operador unos pocos dólares y una tarde de trabajo».
El daño aparece cuando la sesión robada empieza a moverse. Con acceso en vivo, el atacante llega al correo, a Drive y puede conceder permisos OAuth en nombre de la víctima, lo que amplía el radio de impacto más allá de la bandeja de entrada. Material plantea dos preguntas a cualquier equipo de seguridad: quién revisa los registros de auditoría de Google Workspace y con qué rapidez puede actuar. Revocar sesiones, contener permisos OAuth y restablecer la cuenta afectada en menos de una hora es el margen que importa.
Operation CloudFire: así ha sido el golpe a la infraestructura y su estado actual
A finales de septiembre, Material concluyó que ajustar reglas y reentrenar modelos no bastaba: había que atacar la infraestructura. Su equipo de Threat Research analizó las URL de las puertas de entrada y los servidores receptores, y las reportó al sistema de abuso de Cloudflare.
Cloudflare validó la página falsa y el inicio de sesión de Google proxificado detrás de ella, y aplicó su propio aviso de phishing sobre esos destinos. El operador tuvo que volver a registrar, repuntar y recertificar cada puerta y cada receptor antes de poder enviar otra oleada, y cualquier persona que pinchara en un enlace reportado, fuera o no cliente de Material, veía una advertencia en lugar de un formulario de robo de credenciales.
En ese mes de Operation CloudFire, Material registró 68.676 mensajes de la campaña bloqueados, 2.112 URL maliciosas únicas analizadas y 897 dominios dados de baja. Detectó 8.570 direcciones de remitentes comprometidas repartidas en 6.354 dominios raíz, y el envío seguía el horario laboral de Estados Unidos para resultar más creíble. Estas cifras solo recogen a los clientes que aceptaron compartir datos con Material, así que el total real es mayor.
El señuelo ha cambiado de las invitaciones de Calendar a los avisos de archivos compartidos en Google Drive, y Material no ha detectado un repunte equivalente en otras variantes. «La campaña parece terminada. Eso es una actualización de estado, no un veredicto», señala el equipo de Threat Research sobre el cierre aparente de la operación.
Cómo evitar caer en la trampa
Este tipo de campañas de phishing utilizan técnicas cada vez más sofisticadas, pero hay ciertas medidas de prevención que debes poner en práctica para evitar ser víctima. Esto te ayudará a proteger tu cuenta y no dar facilidades a los piratas informáticos. Un factor clave es gestionar correctamente las invitaciones que recibas para el calendario. No debes dar por hecho que una invitación va a ser legítima.
Ten en cuenta estas recomendaciones esenciales:
- Desconfía de las invitaciones inesperadas.
- No te fíes de que el link pertenezca realmente a Google.
- Habilita la autenticación en dos pasos en tu cuenta.
- Revisa de vez en cuando la configuración de seguridad de tu cuenta.
- Configura el calendario de Google para limitar las invitaciones desconocidas.