Новая и сложная техника цифровой атаки позволяет преступникам вставлять фальшивые встречи, полные вредоносных ссылок и вложений, непосредственно в календари пользователей Google Workspace и Microsoft 365. Эта тактика, называемая ICS-фишинг, использует функцию автоматического планирования событий по электронной почте, позволяя обходить барьеры безопасности, которые обычно блокируют подозрительные сообщения во входящих.

Механизм защиты электронной почты может даже идентифицировать вредоносное сообщение и отправить его в карантин, но событие календаря со всем мошенническим содержимым уже создано и остается в календаре жертвы. Этот пробел в безопасности представляет собой скачок в сложности атак, сосредоточенный на области (календаре), которую традиционные решения безопасности на основе API и шлюзы не могут эффективно отслеживать или устранять после создания события.

Как работает мошенничество: от папки «Входящие» до календаря

Уязвимость заключается в способе обработки Google и Microsoft формата .ics (планирование календаря в Интернете), стандарта для приглашений в календаре. При получении электронного письма с вложенным файлом обе платформы автоматически создают событие в календаре, не требуя подтверждения или щелчка пользователя. Эта функция предназначена для облегчения корпоративной рутины.

Проблема усугубляется тем, что большинство решений по обеспечению безопасности электронной почты не имеют возможности удалять вредоносные записи, уже созданные в календарях. Исходное сообщение можно удалить, но расписание останется активным.

В Microsoft 365 ситуация особенно критическая, поскольку платформа автоматически переносит вложения электронной почты в событие календаря. Это означает, что опасное вложение, например вредоносный PDF- или HTML-файл, мигрирует из заблокированного сообщения в адресную книгу без дальнейшего анализа безопасности.

Стратегии злоупотребления доверием и противоречивые инструкции

Одна из выявленных атак показывает, как преступники используют законные услуги, чтобы придать афере достоверность. В данном случае для планирования конференц-связи использовалась FreeConferenceCall.com, реальная платформа для виртуальных встреч.

• Мошенник планирует легальную встречу в сервисе, на которой генерируется стандартное приглашение с данными для доступа.
• В тексте письма вставлена «конфликтующая инструкция»: сообщение, в котором жертве предлагается игнорировать автоматические данные и позвонить по альтернативному номеру телефона, контролируемому преступником.
• Файл приглашения календаря .ics создается с использованием вредоносной информации, гарантируя, что поддельный номер попадет в календарь жертвы.
• Жертва, увидев официальное мероприятие в календаре спустя несколько дней, звонит по номеру ипопадает непосредственно в голосовой фишинг.

Атаки с помощью QR-кода и профессиональный набор для фишинга

Другие тактики свидетельствуют о вложении злоумышленников в профессионализм. Минималистская атака использует почти пустое электронное письмо, содержащее только PDF-файл, прикрепленный к QR-коду для кражи учетных данных.

PDF выдает себя за документ Docusign и предлагает жертве сканировать QR-код

с помощью своего мобильного телефона, чтобы «проверить свой документ» или «подписать ожидающий рассмотрения контракт». Поскольку вложение переносится в событие календаря, жертва может получить к нему доступ непосредственно из своего календаря спустя несколько месяцев после того, как исходное электронное письмо было удалено. Использование QR-кодов является стратегическим, поскольку многие системы безопасности не анализируют их содержимое, а действия на мобильном телефоне могут обойти корпоративную защиту.

Третий пример демонстрирует высокую сложность. Фальшивое событие не только использует психологические триггеры, такие как срочность и страх потери («Срок действия вашего домена business.com.br истекает через 48 часов»), но также блокирует всю неделю в календаре жертвы под заголовком «ПРЕРЫВАНИЕ ОБСЛУЖИВАНИЯ». Чтобы повысить доверие, в список участников мероприятия включены вымышленные гости с общими именами, такими как «Администратор» и «ИТ-поддержка», имитируя участие представителей других подразделений компании.

Вредоносная нагрузка этой атаки – вложенный HTML-файл, который при открытии запускает полный комплект фишинга локально на компьютере жертвы, создавая во временном каталоге поддельную страницу доменных служб Microsoft, что затрудняет обнаружение для сетевых фильтров.

Меры по смягчению последствий для защиты корпоративных учетных записей

Очень важно, чтобы компании и пользователи проверяли настройки безопасности своих учетных записей. Вы можете настроить Google Workspace и Microsoft 365 для блокировки автоматических приглашений, требуя подтверждения пользователя перед созданием мероприятия календаря.

Это простое изменение конфигурации — наиболее эффективный способ снизить риск фишинга ICS, гарантируя, что вредоносное событие не материализуется в повестке дня, даже если электронная почта не полностью перехвачена шлюзом

безопасности. Осведомленность сотрудников о характере атаки является важным дополнением.

Дыра в безопасности, используемая в ICS

Успех фишинга с помощью приглашений в календаре обусловлен слепотой систем защиты по отношению к серверной части платформ продуктивности. Преступники воспользовались лазейкой, о существовании которой большинство компаний даже не подозревали, превратив инструмент повышения производительности в постоянный и трудноустранимый вектор атаки. Чтобы нейтрализовать эту развивающуюся угрозу, необходимо принять новые стратегии кибербезопасности, которые активно отслеживают службы календаря.