Newshot 
自 2026 年 8 月中旬以来，一场钓鱼行动一直在从企业用户手中窃取实时的 Google 会话。防御者为判断一个链接而通常依赖的每一项检查都返回了干净的结果，而这正是操盘者刻意设计的。
Material Security 的威胁研究团队发现了这场行动，并在此后下线了数百个攻击者域名，该团队将这一行动称为 Operation CloudFire。以下是研究人员的发现。
诱饵：Google Calendar 邀请
这些邮件以 Google Calendar 邀请的形式出现。有些通过密送送达，许多来自收件人此前已经有过邮件往来的组织。借口刻意做得平淡无奇：语音留言通知、RFP 与 RFI 请求、法院传票、未付款通知。在繁忙的收件箱里，它们毫无引人注目之处。
大多数链接指向 Google 自身。常见模式是经由 Google 自己的 /url 重定向器，真实目标藏在查询参数里。其他波次以同样方式使用 share.google 和 Drive 文件链接，还有一个变体借助 Intuit 交易通知链接。无论邮件在何时被评分，所呈现的域名、证书和信誉都是合法的。
捕获：Google 登录页前的反向代理
受害者一旦点击，攻击者就在真正的 Google 登录页前运行一个实时反向代理。受害者输入密码，收到真实的提示，并在操盘者的实时注视下予以批准。服务器在每一项第二因素到达时将其转发给 Google，无论是短信验证码、验证器代码、Google 的 Tap-Yes 数字匹配，还是基于电话的账户恢复。这些控制手段都无法阻止会话被捕获。
其背后的框架名为 Nyasher，自 2 月起就已被公开记录，此前研究人员在其 JavaScript 中发现了一个硬编码密钥。
为什么常规控制手段悄无声息
信誉系统回答的是关于归属的问题。它们问的是谁注册了某个域名、它还托管过什么、有没有人投诉过它。这场行动的构造方式，使每一个答案都显得无害。
它分三层运作。第一层是 Google 的重定向器，让最初的跳转带上一个受信任的 Google URL。第二层是 Cloudflare Turnstile 挑战，在某些构建中，它是从 Cloudflare 自有基础设施提供的真实组件。第三层是密码捕获页面，这也正是防御者棘手的地方。没有可扫描的静态站点。JavaScript 在访客通过挑战后在浏览器中构建页面，因此爬虫无内容可抓取，代理日志也无内容可记录。据研究人员所知，在这场行动被记录之前，没有人扫描过那些页面。
这套基础设施也是被设计成用完即弃的。早期波次使用了分布在多家注册商的众多诱饵域名，其中大多数在使用前几天才注册。接收端点在其所服务的波次之前一到二十天上线。有一张通配符证书在其所覆盖的域名注册之前 46 分钟就已签发。封堵其中任何一环，都只会让操盘者花上几美元和一个下午。
阻止它需要付出什么
研究人员从一开始就追踪了这场活动，随着诱饵、闸门和端点不断轮换，逐一跟进每个变体。检测机制就位后，他们拦截了超过 99% 的恶意邮件，误分类率为 0.01%。这是一项持续的工作，因为攻击者不断更换战术、主题和诱饵文本，以躲过静态、机器学习和智能体检测。
奏效的做法是拒绝让任何单一信号做决定。仅靠信誉评分抓不到这个。链接分析也不行，因为第一跳是 Google 的 URL，而最终页面要等浏览器构建出来才存在。因此，这种检测方法把技术指标与邮件的表面意图、链接实际指向的终点，以及其背后的发件关系放在一起权衡。其中任何一项都可能足以采取行动。围绕单一信号构建的检测会继承该信号的盲区，而这名操作者确实下了功夫去摸清这些盲区。
分析在哪里进行同样重要。为检查传输中的邮件而构建的网关并不适合日历邀请，而这场活动的很大一部分正是以邀请形式到达的。日历邀请需要被当作独立的威胁面来对待，把账号的完整历史与技术信号并置作为上下文。
损害落在哪里
被劫持的会话会在 Google Workspace 审计日志中留下痕迹。一个活跃会话能触及邮件、Drive，以及以受害者名义授予 OAuth 访问权限的能力，因此影响范围远远超出收件箱。
这给安全团队提出了几个棘手的问题。究竟是谁在审查那些审计日志，他们能多快对发现的情况采取行动？团队能否在一小时内撤销会话、控制 OAuth 授权并重置受影响的账号？很多项目做不到，而持有活跃会话的攻击者在一小时内能做很多事。
Operation CloudFire：直击基础设施
到 9 月下旬，研究人员认定，仅靠调整规则、重新训练模型和更新智能体并不能解决这个问题。检测保护了客户，但对一个已经在筹备下一波攻击的操作者毫无作用。于是团队转向了基础设施。
分析人员在邮件发送过程中提取网关和后端 URL，并通过 Cloudflare 的滥用举报系统上报。Cloudflare 的滥用团队确认了伪造的中间页及其背后的代理 Google 登录页，随后在这些目的地前加上了自己的钓鱼警告。
这带来了两个效果。第一，攻击者的基础设施被暴露。每个被上报的网关和端点都必须重新注册、重新指向并重新认证，操作者才能再次发送。第二，它保护的人远远超出任何一家公司的客户。任何点击了被上报链接的人看到的都是警告页，而不是凭据表单。
一个月的数字
这些数字只涵盖同意共享数据的组织，所以真实总数更高。在 Operation CloudFire 开展的一个月里，研究人员记录到：
- 拦截 68,676 封活动邮件
- 分析 2,112 个唯一恶意 URL
- 关停 897 个唯一域名
- 8,570 个唯一被入侵的发件地址，分布在 6,354 个根域名上
这些邮件还遵循明显的节奏，发送时间与美国工作时间吻合。
发件人数量解释了这场活动如何赢得信任。攻击者在第一封邀请发出之前就控制了每一个被入侵的账号，而每一个账号都向账号主人保存的联系人等人发送了邀请。收件人看到的是熟悉的名字或域名，域名历史干净，时间点也合情合理。信誉数据源没有任何理由标记其中任何一项。
目前状况
日历邀请与实时代理：深入一起 Google 会话劫持活动
钓鱼主题已从日历邀请转向 Google Drive 文件和文档共享邀请。研究人员尚未看到其他诱饵或战术出现相应增长，该团伙的活动似乎已经分散。目前来看，这轮活动看起来已经结束。
这只是一个快照，情况可能迅速变化。重建基础设施成本很低，而且该框架自二月起就已公开。操作者还在实时 Google 代码之外附带了一个未完成的 Microsoft 365 分支。它包括一个样式表路径、第二个测试框架，以及一个解码后指向 Microsoft 登录提示的标题字符串。这些路径目前都无法解析，而加入新品牌只需要放入一个文件，无需更改代码。后续部分已经构建好，正在等待启用。
研究人员认为主题轮换是持续迭代，并预计下一次转向会与这次非常相似，只是换上一个不同的品牌。
完整的技术拆解，包括入侵指标和时间线，见配套白皮书。想要在自己的环境中排查这类活动的团队，应从那里开始。