Google Calendar 钓鱼活动劫持会话并绕过 MFA，Material Security 披露 Operation CloudFire

Material Security 威胁研究团队披露自 2026 年 8 月中旬起针对企业用户的钓鱼活动 Operation CloudFire，攻击者借 Google Calendar 邀请投递诱饵，在真实 Google 登录页前架设反向代理实时转发短信验证码、身份验证器代码、Tap-Yes 数字匹配和电话账户恢复，从而劫持活跃会话并绕过 MFA。