Google日历邀请被用于钓鱼：攻击者劫持企业会话，绕过MFA防护

据 BleepingComputer 于2026年11月4日发布的报道，一场针对企业 Google 账号的钓鱼活动，将 Google Calendar 日历邀请、可信重定向与伪造登录页面串联起来，用于劫持用户会话并绕过多因素认证（MFA）保护。来源摘要显示，Material Security 介绍了名为 Operation CloudFire 的攻击追踪行动，包括拦截恶意消息，以及协助下架攻击者使用的近900个域名。对依赖 Google 服务开展跨境协作的团队而言，这类威胁说明：开启MFA并不意味着可以忽视登录入口与会话安全。

日历邀请成为入口，风险不只在密码

这次活动值得关注的地方，是攻击者把钓鱼链路放进了日常办公场景。日历邀请通常与会议、项目沟通和外部合作相关，跨时区工作人员也更习惯通过邀请中的链接继续操作。当攻击流程结合可信重定向时，用户可能因为最初看到熟悉的平台环境，而降低对后续页面的警惕。

来源明确指出，攻击者使用了伪造登录页面，最终实现企业 Google 会话劫持并绕过MFA保护。不过，现有摘要未披露完整技术过程，也未说明受影响企业数量。因此，不能据此认定 Google 的MFA机制整体失效；更准确的理解是，攻击链能够绕开用户对“已经开了MFA就安全”的预期，防护不能仅停留在密码与验证码环节。

对跨境账号、远程办公与支付流程有何影响

跨境团队常用同一套办公身份处理会议、邮件和业务沟通。一旦企业会话被他人控制，风险可能沿着协作关系扩散，例如冒用身份联系同事，或利用已有沟通背景诱导后续操作。这些属于会话失守后的潜在影响，并非来源已经确认发生的损失。

涉及收款资料、账单确认或供应商付款的人员尤其需要谨慎：如果异常请求来自看似正常的企业账号，单看发件人身份并不足以确认真实性。对于远程办公人员，切换网络、使用VPN或改变访问地区，不能替代对登录页面和会话状态的核验；本次披露的关键风险在钓鱼与会话劫持，而非单纯的网络连通问题。

用户和企业应重点检查什么

• 收到意外会议邀请时，先确认邀请方和业务背景，不因邀请出现在日历中就默认可信。
• 点击后若被要求重新登录，暂停操作，通过自行打开的官方入口核实是否确有登录需要。
• 发现曾在可疑页面输入信息，应及时联系企业管理员，检查账号活动，并评估撤销可疑会话，避免只修改密码便结束处置。
• 涉及付款、收款账号变更或敏感资料交付时，通过独立渠道复核，不仅依赖邮件或日历中的指令。

Material Security 协助下架近900个攻击域名，说明处置工作不仅包括拦截消息，也涉及清理攻击基础设施。但域名下架不等于所有风险已经消除。对跨境用户而言，更实用的做法是把邀请来源核实、登录入口检查和异常会话处置纳入日常办公流程，让MFA成为多层防护中的一环，而不是唯一保障。