Sesi Google Dibajak via Undangan Kalender: 897 Domain Dibekukan

Kampanye phishing yang berlangsung sejak pertengahan Agustus 2026 mencuri sesi Google aktif milik pengguna korporat lewat undangan Google Calendar. Tim Threat Research Material Security menemukan operasi ini dan membekukan 897 domain pelaku dalam langkah yang mereka sebut Operation CloudFire.

Yang membuat kampanye ini berbeda: setiap pemeriksaan yang biasa dipakai pertahanan untuk menilai sebuah tautan memberi hasil bersih. Domain, sertifikat, dan reputasi yang tampil semuanya sah. Operator merancangnya begitu sejak awal.

Laporan lengkap dirilis di The Hacker News pada 12 November 2026, disertai whitepaper teknis berisi indikator kompromi dan kronologi serangan.

Undangan Kalender Jadi Pintu Masuk Serangan

Pesan serangan muncul sebagai undangan Google Calendar. Sebagian dikirim lewat BCC, dan banyak di antaranya datang dari organisasi yang sudah pernah bertukar surel dengan penerima. Pretextnya sengaja dibuat membosankan: notifikasi pesan suara, permintaan RFP dan RFI, surat panggilan pengadilan, serta pemberitahuan tagihan yang terlewat.

Tidak ada yang mencolok di kotak masuk yang padat. Penerima melihat nama atau domain yang dikenali, dari domain dengan riwayat bersih, pada jam kerja yang wajar.

Sebagian besar tautan mengarah ke Google sendiri. Pola umumnya melewati pengalihan /url milik Google, dengan tujuan sebenarnya diselipkan di parameter kueri. Gelombang lain memakai share.google dan tautan berkas Drive dengan cara serupa. Satu varian bahkan memanfaatkan tautan notifikasi transaksi Intuit.

Setiap kali sebuah pesan dinilai, domain, sertifikat, dan reputasi yang ditampilkan seluruhnya sah. Di sinilah sistem reputasi kehilangan pijakan.

Reverse Proxy Hidup di Depan Halaman Login Google

Setelah korban mengeklik, penyerang menjalankan reverse proxy langsung di depan halaman masuk Google yang asli. Korban mengetik kata sandi, menerima prompt yang benar-benar asli, lalu menyetujuinya sementara operator menyaksikan secara real time.

Server meneruskan setiap faktor kedua ke Google begitu masuk, entah itu kode SMS, kode authenticator, pencocokan angka Tap-Yes milik Google, atau pemulihan akun berbasis telepon. Tidak satu pun dari kontrol itu menghentikan sesi agar tidak terekam.

Kerangka kerja di baliknya, dikenal sebagai Nyasher, sudah terdokumentasi publik sejak Februari, setelah peneliti menemukan kunci hardcoded di dalam JavaScript-nya.

Struktur serangannya berlapis tiga:

• Pengalihan Google memberi lompatan pertama URL Google yang tepercaya.
• Tantangan Cloudflare Turnstile, pada beberapa build memakai widget asli dari infrastruktur Cloudflare sendiri.
• Halaman penangkap kata sandi yang dibangun JavaScript di browser setelah pengunjung lolos tantangan.

Lapisan ketiga yang paling merepotkan pertahanan. Tidak ada situs statis untuk dipindai. Crawler tidak punya apa pun untuk diambil, dan log proxy tidak punya apa pun untuk dicatat. Sepanjang pengetahuan peneliti, belum ada yang memindai halaman-halaman itu sebelum kampanye ini terdokumentasi.

Infrastruktur Sekali Pakai dan Celah Deteksi

Infrastruktur kampanye memang dirancang untuk dibuang. Gelombang awal memakai banyak domain lure yang tersebar di beberapa registrar, dan sebagian besar didaftarkan hanya beberapa hari sebelum dipakai. Endpoint penerima aktif satu sampai dua puluh hari sebelum gelombang yang dilayaninya.

Satu sertifikat wildcard diterbitkan 46 menit sebelum domain yang dicakupinya bahkan terdaftar. Memblokir satu bagian saja membuat operator merugi beberapa dolar dan waktu satu sore.

Sistem reputasi menjawab pertanyaan soal kepemilikan. Siapa yang mendaftarkan domain, apa lagi yang pernah dihosting di sana, dan apakah ada yang mengeluh. Kampanye ini dibangun agar semua jawaban itu kembali tampak tidak berbahaya.

Peneliti mengikuti kampanye sejak awal, mengikuti setiap varian saat lure, gerbang, dan endpoint berganti. Setelah deteksi terpasang, mereka menangkap lebih dari 99 persen pesan berbahaya, dengan tingkat reklasifikasi 0,01 persen. Pekerjaan itu berjalan terus karena penyerang berganti taktik, tema, dan teks lure untuk melewati deteksi statis, machine learning, dan agentic.

Yang berhasil adalah menolak membiarkan satu sinyal saja mengambil keputusan. Reputasi saja tidak akan menangkap ini. Analisis tautan juga tidak, karena lompatan pertama adalah URL Google dan halaman akhirnya baru ada setelah browser membangunnya.

Pendekatan deteksi menimbang indikator teknis bersama niat pesan, ke mana tautannya benar-benar berakhir, dan hubungan pengirim di baliknya. Salah satu dari itu bisa cukup untuk bertindak.

Audit Log Workspace dan Radius Kerusakan

Sesi yang dibajak meninggalkan jejak di audit log Google Workspace. Sesi aktif menjangkau surel, Drive, dan kemampuan memberi akses OAuth atas nama korban, sehingga radius kerusakannya jauh melewati kotak masuk.

Dari situ muncul pertanyaan sulit bagi tim keamanan. Siapa yang benar-benar meninjau audit log itu, dan seberapa cepat mereka bisa bertindak atas temuannya? Bisakah tim mencabut sesi, menahan hibah OAuth, dan mereset akun terdampak dalam satu jam?

Banyak program tidak bisa. Penyerang yang memegang sesi aktif bisa berbuat banyak dalam satu jam.

Pada akhir September, peneliti memutuskan bahwa menyetel aturan, melatih ulang model, dan memperbarui agen tidak akan menyelesaikan masalah ini sendirian. Deteksi melindungi pelanggan, tetapi tidak menyentuh operator yang sudah menyiapkan gelombang berikutnya. Tim pun beralih ke infrastruktur.

Analis menarik URL gateway dan backend saat pesan sedang dikirim, lalu melaporkannya lewat sistem pelaporan penyalahgunaan Cloudflare. Tim abuse Cloudflare mengonfirmasi interstitial palsu dan halaman masuk Google yang diproksikan di belakangnya, kemudian memasang peringatan phishing mereka sendiri di depan tujuan tersebut.

Efeknya dua. Infrastruktur penyerang hangus, karena setiap gateway dan endpoint yang dilaporkan harus didaftarkan ulang, diarahkan ulang, dan disertifikasi ulang sebelum operator bisa mengirim lagi. Dan siapa pun yang mengeklik tautan terlapor melihat halaman peringatan, bukan formulir kredensial.

Rincian teknis soal pelaporan penyalahgunaan bisa dilihat di situs resmi Cloudflare.

Angka Satu Bulan Operation CloudFire

Data berikut hanya mencakup organisasi yang setuju berbagi data, jadi total sebenarnya lebih tinggi. Selama satu bulan Operation CloudFire, peneliti mencatat:

• 68.676 pesan kampanye diblokir
• 2.112 URL berbahaya unik dianalisis
• 897 domain unik dibekukan
• 8.570 alamat pengirim terkompromi unik di 6.354 domain akar

Pesan juga mengikuti ritme yang jelas, dengan pengiriman mengikuti jam kerja bisnis Amerika Serikat.

Jumlah pengirim menjelaskan bagaimana kampanye ini mendapat kepercayaan. Penyerang menguasai setiap akun terkompromi sebelum undangan pertama dikirim, dan masing-masing mengirim undangan ke kontak tersimpan pemilik akun, antara lain. Feed reputasi tidak punya alasan menandai apa pun.

Kini tema phishing bergeser dari undangan kalender ke undangan berbagi berkas dan dokumen Google Drive. Peneliti belum melihat lonjakan sepadan pada lure atau taktik lain, dan aktivitas kelompok ini tampak menyebar. Untuk sementara, kampanye terlihat selesai.

Itu hanya potret sesaat, dan bisa berubah cepat. Membangun ulang infrastruktur murah, dan kerangka kerjanya sudah publik sejak Februari.

Operator juga mengirim cabang Microsoft 365 yang belum selesai bersama kode Google yang aktif. Isinya jalur stylesheet, harness kedua, dan string judul yang terdekode menjadi prompt masuk Microsoft. Tidak satu pun jalur itu berfungsi hari ini, dan menambahkan merek baru hanya berarti menaruh satu berkas, tanpa perubahan kode. Serangan lanjutan sudah dibangun dan menunggu.

Peneliti melihat rotasi tema sebagai iterasi yang berlangsung terus, dan memperkirakan pivot berikutnya akan sangat mirip, hanya dengan merek berbeda.

Analisis Redaksi

Kampanye ini bukan soal teknologi canggih, melainkan soal geometri kepercayaan. Penyerang tidak membobol Google. Mereka menumpang di atas URL Google, sertifikat Cloudflare, dan akun surel yang sudah dikenal korban, lalu membiarkan sistem pertahanan menilai pemilik, bukan niat.

Pelajaran paling keras ada pada konsekuensi sesi yang hidup. Kata sandi dan faktor kedua sudah lama dianggap tembok terakhir. Di sini keduanya berfungsi persis seperti seharusnya, dan sesi tetap direnggut karena ada pihak ketiga yang meneruskan kode secara real time. Pertahanan yang tidak bisa mencabut sesi dalam hitungan menit sebenarnya belum punya rencana insiden.

Angka 8.570 alamat pengirim terkompromi juga membongkar ilusi bahwa kepercayaan bisa didelegasikan ke feed reputasi. Akun yang dipakai mengirim undangan itu milik organisasi nyata dengan riwayat bersih. Satu-satunya cara mendeteksinya adalah menimbang beberapa sinyal sekaligus, termasuk menggunakan riwayat akun sebagai konteks.

Yang patut diapresiasi, peneliti tidak berhenti di aturan deteksi. Mereka mengejar infrastruktur lewat pelaporan penyalahgunaan, membuat ulang serangan menjadi mahal. Namun cabang Microsoft 365 yang sudah menunggu di kode menunjukkan bahwa kemenangan ini bersifat sementara. Kerangka kerjanya publik sejak Februari, dan biaya membangun ulang hanya beberapa dolar.

Bagi tim keamanan, prioritasnya jelas: perlakukan undangan kalender sebagai permukaan ancaman tersendiri, dan uji berapa lama waktu yang dibutuhkan untuk mencabut sesi yang dibajak. Jawaban atas pertanyaan kedua itu lebih menentukan daripada daftar domain blokir mana pun.