E-posta ve bulut güvenliği şirketi Material Security, Ağustos 2026 ortasından bu yana Google Calendar davetlerini kullanarak çok faktörlü doğrulamayı (MFA) aşan ve Google Workspace oturumlarını çalan bir oltalama kampanyasını yayımladı. Şirketin 28 Ekim 2026'da paylaştığı «Operation CloudFire» sonuçlarına göre, bir ay içinde veri paylaşım izni veren müşterilerde 68.676 kampanya mesajı engellendi ve 897 benzersiz alan adı düşürüldü.
Takvim daveti nasıl kandırıyor
Material Security'nin «Reputation Says It's Fine» başlıklı analizine ve BleepingComputer aktarımına göre saldırganlar, doğrudan e-posta göndermek yerine hedef kişilere Google Calendar davetleri iletiyor. Davetlerde sesli mesaj bildirimi, teklif veya bilgi talebi (RFP/RFI), mahkeme celbi ve kaçırılan ödeme gibi günlük iş akışında sıradan görünen temalar kullanılıyor.
Davetlerin içindeki bağlantılar çoğu zaman Google'ın kendi yönlendiricisi (/url) üzerinden geçiyor; bazı örneklerde share.google veya Google Drive paylaşım bağlantıları da kullanılıyor. Kısa ömürlü alan adları kullanılması, Cloudflare Turnstile doğrulaması eklenmesi ve kimlik avı sayfasının tarayıcı belleği içinde üretilmesi nedeniyle geleneksel itibar filtreleri bu bağlantıları temiz olarak değerlendirebiliyor. Saldırıların son dönemde Google dosya ve belge paylaşım davetlerine de kaydığı, ayrıca tamamlanmamış bir Microsoft 365 dalının da gözlemlendiği bildirildi.
MFA neden yetmiyor
Kampanyada Şubat ayından bu yana kamuya açık olan ve JavaScript kodunda sabit bir anahtar barındıran Nyasher adlı çerçeve kullanılıyor. Bağlantıya tıklayan kullanıcının karşısına gerçek Google giriş sayfasının önünde çalışan canlı bir ters vekil sunucu (reverse proxy) çıkıyor.
Kullanıcı parolasını girdikten sonra SMS kodu, doğrulama uygulaması (authenticator), telefonda onay (Tap-Yes) veya kurtarma numarası gibi gerçek MFA adımlarından hangisi istenirse istensin, vekil sunucu bu veriyi eşzamanlı olarak Google'a iletiyor. Doğrulama tamamlandığında üretilen oturum bilgisi doğrudan saldırganın eline geçiyor.
CloudFire sayıları
Material Security, Cloudflare kötüye kullanım (abuse) ekibiyle yürüttüğü Operation CloudFire çalışmasıyla saldırı altyapısını devre dışı bırakmaya odaklandı. Yalnızca veri paylaşım izni veren müşterilerden elde edilen bir aylık verilere göre şu sonuçlar paylaşıldı:
- 68.676 kampanya mesajı engellendi.
- 2.112 benzersiz zararlı URL tespit edildi.
- 897 benzersiz alan adı düşürüldü.
- 8.570 benzersiz ele geçirilmiş gönderen adresi ve 6.354 kök alan adı saptandı.
Material Security, saldırı temposunun ABD iş saatleriyle uyumlu seyrettiğini ve paylaşılan bu sayıların yalnızca izin veren müşterileri kapsaması nedeniyle gerçek toplamın daha yüksek olabileceğini vurguladı. Şirket, altyapının dağılmış görünmesine karşın kampanyanın tamamen sona ermediğini belirtti. Saldırganların kimliği ve Türkiye'deki kurumlarda etkilenen hesap sayısı ise bilinmiyor.
Ne yapmalısınız
Hesap bilgilerini hedefleyen benzer bir sosyal mühendislik tuzağını daha önce otel Wi-Fi ağlarında çıkan sahte güncelleme ekranı haberimizde ele almıştık. Kurumların ve kullanıcıların alabileceği önlemler şunlardır:
- Google Workspace ve diğer kurumsal hesaplarda SMS veya tek kullanımlık kod yerine alan adına bağlı çalışan FIDO2 / WebAuthn güvenlik anahtarları veya geçiş anahtarları (passkey) kullanın.
- Takvim davetleri veya belge paylaşımları içindeki bağlantılar Google yönlendiricisi kullansa bile, giriş ekranı açıldığında tarayıcı adres çubuğundaki alan adını kontrol edin.
- Google Calendar ayarlarında tanınmayan gönderenlerden gelen davetlerin takvime otomatik eklenmesini sınırlandırın ve beklenmedik mahkeme celbi veya ödeme temalı davetleri gönderen kurumdan ayrıca teyit edin.
Kaynaklar
- Material Security — Reputation Says It's Fine: How Calendar Invites and a Live MFA Proxy Steal Google Sessions
- Material Security — 897 Domains Later: How Operation CloudFire Burned the Calendar Invite Campaign, 28 Ekim 2026
- BleepingComputer — Google Calendar phishing campaign hijacks sessions, bypasses MFA, 4 Kasım 2026
Temsili görsel: Google Calendar ekran görüntüsü — I AM GIFTY, Wikimedia Commons (CC BY 4.0). Görsel kırpıldı ve yeniden boyutlandırıldı. Haber konusuyla doğrudan bağlantılı bir olay görseli değildir.
Sık sorulan sorular
Çok faktörlü doğrulama (MFA) açık olduğu halde Google oturumu nasıl çalınabiliyor?
Saldırıda gerçek Google giriş ekranının önünde canlı bir ters vekil sunucu (reverse proxy) çalışıyor; kullanıcının girdiği parola ve MFA kodu anında gerçek Google sunucusuna iletilerek oluşan oturum ele geçiriliyor.
Sahte Google Calendar davetlerinde hangi konular kullanılıyor?
Material Security raporuna göre davetlerde sesli mesaj bildirimi, teklif ve bilgi talebi (RFP/RFI), mahkeme celbi veya kaçırılan ödeme gibi iş dünyasında sık karşılaşılan temalar kullanılıyor.
Operation CloudFire kapsamında kaç zararlı bağlantı ve alan adı engellendi?
Veri paylaşım izni veren müşterilerden toplanan bir aylık verilere göre 68.676 kampanya mesajı engellendi, 2.112 benzersiz zararlı URL tespit edildi ve 897 benzersiz alan adı düşürüldü.
