Злоумышленники применяли приглашения Google Calendar для проведения фишинговых атак на корпоративные учётные записи Google. Атака начиналась с календарных уведомлений, содержащих ссылки на доверенные сервисы Google. Это помогало злоумышленникам повысить убедительность сообщений. Далее использовались фишинговые прокси-серверы, которые в реальном времени перехватывали авторизованные пользовательские сессии. Даже успешное прохождение настоящей многофакторной аутентификации (MFA) не гарантировало защиту. После подтверждения входа атакующие могли похитить данные активной сессии и получить доступ к корпоративному аккаунту без повторного ввода пароля. В рамках противодействия кампании были отключены 897 доменов, связанных со злоумышленниками. Инцидент показывает, что традиционная MFA не всегда защищает от атак с перехватом сессий.