Фишинг переехал в календарь

Фишинговые атаки больше не ограничиваются подозрительными письмами со ссылками и вложениями. Злоумышленники всё чаще используют привычные рабочие инструменты — календари и приглашения на встречи.
Об этом рассказала Soundharya Bharani Poomalai, Associate Threat Analyst в Barracuda. По её словам, календарь давно стал не просто расписанием совещаний. Через него сотрудники получают уведомления о подтверждении корпоративных правил, ознакомлении с внутренними документами, оформлении льгот и прохождении обязательного обучения.
Приглашение с пометкой об обновлении HR-политики или действии, связанном с зарплатой, выглядит вполне естественно. Именно поэтому оно может вызвать меньше подозрений, чем письмо с неизвестным отправителем. Кроме того, событие часто автоматически добавляется в календарь почти без участия пользователя и может сохраняться даже после удаления или помещения исходного письма в карантин.
Дополнительный риск создают смартфоны: календарные уведомления нередко обрабатываются на мобильных устройствах, которые хуже защищены средствами, ориентированными на настольную почту.
Главная проблема — несоответствие между тем, что проверяют защитные системы, и тем, что видит человек. Традиционная почтовая безопасность анализирует тему, текст письма и вложения. Файл формата .ics при этом может восприниматься как календарный объект и не проходить такую же тщательную проверку.
На самом деле .ics способен содержать описание события, сведения об организаторе, место проведения, вложения, URL-адреса и пользовательские поля метаданных. В них можно спрятать фишинговый контент. После отображения события приложение календаря может показать логотип компании, инструкции или QR-код, выглядящие правдоподобно.
Если пользователь введёт логин и пароль, а затем подтвердит вход с помощью многофакторной аутентификации, атакующие могут перехватить учётные данные и данные сессии. В атаках типа adversary-in-the-middle злоумышленники действуют как посредники: получают сведения во время авторизации и используют их для доступа к аккаунту.
Технологии знакомы: QR-код скрывает адрес назначения, поддельный бренд формирует доверие, а платформа-посредник перехватывает данные входа. Новизна — в контейнере: вредоносное содержимое доставляется не обычным письмом, а календарным приглашением. Такой канал часто оказывается менее заметным для средств защиты.
Организациям следует считать календарные события активным содержимым, а не безобидными данными о времени и месте встречи. Файлы .ics нужно проверять на встроенные ссылки, вложения, HTML-содержимое и QR-коды с декодированием адресов, на которые они ведут.
Проверка должна продолжаться и после доставки. Событие может оставаться в календаре несколько дней или недель, прежде чем ссылка станет актуальной. Удаление исходного письма не удаляет автоматически саму запись. Поэтому при инциденте необходимо убрать и письмо, и связанное событие из всех затронутых почтовых ящиков.
Одновременно специалисты должны проверить активность учётных записей: входы с незнакомых устройств, неожиданные запросы MFA, появление новых сессий и согласия OAuth. Если сотрудник взаимодействовал с приглашением, одной очистки календаря недостаточно — его пароль, токены сессии или доступ могли быть скомпрометированы.
Для снижения риска рекомендуются устойчивые к фишингу методы MFA, включая FIDO2 и WebAuthn, политики условного доступа, мониторинг сессий и возможность быстро отзывать их. Сотрудникам важно объяснить, что неожиданное уведомление от HR, бухгалтерии или отдела кадров в формате .ics требует такой же осторожности, как странное письмо. Особенно подозрительны QR-коды внутри календарных событий.
Атака проходит через цепочку: письмо создаёт событие, событие показывает содержимое, содержимое ведёт на поддельную страницу входа или вредоносный QR-код. Каждый этап может работать в отдельном приложении с собственными средствами защиты — или вообще без них. Если организация защищает только почтовый ящик, она охраняет лишь первый участок гораздо более длинного маршрута.