Приглашение в календарь — одно из самых обыденных сообщений на современном рабочем месте. Оно попадает в папку «Входящие», требует несколько секунд внимания и редко вызывает вопросы. Злоумышленники знают об этом и теперь используют фальшивые приглашения на встречи для кражи учетных данных Microsoft.
Мы выявили несколько масштабных фишинговых кампаний, в которых используются поддельные приглашения в календарь для сбора учетных данных. Некоторые из них приходят в виде вложения .ics (пример 1). Файл содержит корректные данные календаря, поэтому атака использует функции календаря и доверие пользователей, не эксплуатируя уязвимости программного обеспечения. Другие используют ссылку, которая, по-видимому, ведет на другой ресурс (пример 2). Оба варианта предназначены для сбора учетных данных жертвы.
Исследователи Check Point Email отслеживают эти кампании и зафиксировали значительный всплеск активности, начавшийся 25 сентября 2026 года. Новый уровень обнаружения, специально разработанный для выявления этого типа атак, пометил более 302 386 уникальных фишинговых писем среди наших
писем клиентов, отправленных более чем в 40 000 организаций. В среднем в рамках кампаний рассылается более 8 319 писем в день активной работы. Письма поступали с более чем 33 890 различных доменов отправителей и более чем 247 270 уникальных адресов отправителей.
ПРИМЕР 1: Поддельное приглашение в календарь с вредоносным вложением .ics — корректные данные календаря, которые злоупотребляют форматом, а не программной ошибкой. (Данные отправителя и получателя скрыты.)
ПРИМЕР 2
Поддельное приглашение на собрание в Microsoft Teams. Наведение курсора на ссылку «Присоединиться» показывает ее реальное назначение — страницу сбора учетных данных на login.microsoft.com, а не в Teams. (Данные отправителя и получателя скрыты.)
Активность не затихает, а ускоряется. Ежедневный объем вырос с нескольких тысяч писем в месяц в апреле до более чем 118 000 в сентябре и до более чем 740 000 всего за первые две недели октября. Самым загруженным днем на данный момент стало 8 октября, когда было отправлено почти 200 000 писем.
Полный диапазон, линейная шкала. Октябрьский период затмевает все остальное за этот промежуток времени — это реальная форма данных, а не артефакт построения графика. Наведите курсор, чтобы изучить любой день.
Те же данные, масштабированные под собственный диапазон — в масштабе графика выше весь этот период выглядит как плоская линия около нуля. Наведите курсор, чтобы изучить любой день.
- Вредоносная ссылка, доставленная внутри приглашения в календарь — формат, к которому пользователи редко относятся с подозрением
- Ссылка, замаскированная под страницу входа в Microsoft, созданная для захвата учетных данных
- Тысячи различных доменов отправителей
- Масштабная и устойчивая активность, наблюдаемая еще 15 октября 2026 года
Это не единственная маскировка, которую используют злоумышленники. Мы видели похожие кампании, в которых используются другие доверенные автоматизированные сообщения, например, поддельные уведомления о голосовой почте с вредоносными вложениями. Вы можете прочитать об этом подробнее в нашем блоге Check Point.
