O nouă campanie de phishing, identificată de cercetătorii din securitate cibernetică de la AegisAI, utilizează infrastructura Google Calendar pentru a trimite linkuri periculoase către utilizatori. Această metodă de atac, numită „Red Tide”, permite atacatorilor să introducă evenimente malițioase direct în agendele victimelor, ocolind mecanismele de protecție obișnuite. Campania se bazează pe utilizarea unor conturi Google reale, care au fost deja compromise anterior, pentru a trimite invitațiile către noi ținte.
Mecanismul de atac este deosebit de eficient deoarece serviciul Google Workspace poate crea automat evenimente în calendar imediat ce o invitație este primită. Acest lucru înseamnă că utilizatorul nu trebuie să accepte invitația sau să interacționeze cu mesajul pentru ca evenimentul să apară în agenda sa. Chiar dacă persoana decide să ignore e-mailul de invitație, evenimentul rămâne vizibil în calendar și poate reveni în atenția utilizatorului prin intermediul notificărilor automate de sistem.
Invitațiile folosite în cadrul campaniei „Red Tide” imită situații profesionale comune, precum documente pentru licitații, facturi sau note de credit. În descrierea acestor evenimente se află un link controlat de atacatori, care poate duce la o verificare CAPTCHA falsă, menită să îngreuneze detectarea automată a paginii. Ulterior, victima este direcționată către o pagină care imită procesul de autentificare Google, scopul fiind colectarea datelor de acces. AegisAI a identificat cel puțin șase domenii create special pentru a imita această infrastructură.
Un aspect critic al acestei campanii este capacitatea conturilor compromise de a propaga atacul într-un mod rapid și organizat. Într-un caz documentat de AegisAI, o invitație trimisă de un cont Gmail personal a ajuns la o adresă de companie, iar după mai puțin de 19 minute, o altă adresă din aceeași organizație a început să trimită mesaje de phishing similare. Această viteză de propagare transformă conturile compromise în surse active pentru noi valuri de atacuri cibernetice.
Pentru a reduce riscurile, cercetătorii recomandă organizațiilor să modifice setările Google Workspace, astfel încât invitațiile să fie adăugate automat în calendar doar atunci când provin de la expeditori deja cunoscuți. Totuși, AegisAI avertizează că această măsură nu elimină complet pericolul, deoarece un cont compromis cu care utilizatorul a comunicat anterior poate fi considerat de sistem ca fiind un expeditor legitim și cunoscut.
Tehnologia de phishing evoluează constant, utilizând tot mai multe metode pentru a ocoli filtrele de securitate și a exploata comportamentul utilizatorilor. În prezent, atacurile nu se mai limitează doar la e-mailuri suspecte, ci se infiltrează în instrumente de productivitate precum Google Calendar. Această integrare directă în fluxul de lucru zilnic face ca identificarea unui link malițios să fie mult mai dificilă pentru un utilizator obișnuit.