一种新型复杂数字攻击技术允许犯罪分子将充满恶意链接和附件的虚假约会直接插入 Google Workspace 和 Microsoft 365 用户的日历中。这种策略称为 ICS 网络钓鱼，利用通过电子邮件自动安排事件的功能，设法绕过通常会阻止收件箱中可疑邮件的安全屏障。

电子邮件防御机制甚至可以识别恶意邮件并将其发送到隔离区，但包含所有诈骗内容的日历事件已经创建并保留在受害者的日历上。这种安全漏洞代表了攻击复杂性的飞跃，主要集中在日历领域，传统的基于 API 的安全解决方案和网关在事件创建后无法有效监控或修复。

骗局如何运作：从收件箱到日历

该漏洞存在于 Google 和 Microsoft 处理.ics（互联网日历安排）格式（日历邀请标准）的方式中。当收到附有此文件的电子邮件时，两个平台都会自动在日历中创建事件，无需用户进行任何确认或点击，这是一项旨在促进公司日常工作的功能。

问题变得更糟，因为大多数电子邮件安全解决方案无法删除日历中已创建的恶意条目。原始消息可能会被删除，但时间表仍然有效。

在 Microsoft 365 中，情况尤其严重，因为平台会自动将电子邮件附件传输到日历事件。这意味着危险附件（例如恶意 PDF 或 HTML）会从被阻止的邮件迁移到地址簿，而无需进行进一步的安全分析。

信任滥用策略和相互冲突的指令

其中一项已识别的攻击显示了犯罪分子如何使用合法服务来使骗局可信。在本例中，我们使用了 FreeConferenceCall.com（一个真正的虚拟会议平台）来安排电话会议。

• 诈骗者在该服务上安排了一次合法会议，该会议会生成带有访问数据的标准邀请。
• 在电子邮件正文中，插入了一条“冲突指令”：一条消息，要求受害者忽略自动数据并拨打由犯罪分子控制的备用电话号码。
• 使用恶意信息生成日历邀请.ics文件，确保虚假号码到达受害者的日历。
• 受害者在几天后看到日历上的官方活动后，拨打了该号码并直接陷入语音网络钓鱼。

二维码攻击和专业网络钓鱼套件

其他策略揭示了攻击者对专业精神的投入。极简主义攻击使用几乎空的电子邮件，仅包含附有凭据窃取二维码的 PDF。

该 PDF 伪装成 Docusign 文档，并指示受害者用手机扫描二维码来“验证您的文档”或“签署待处理的合同”。由于附件被转移到日历事件中，因此受害者可以在原始电子邮件被丢弃几个月后直接从日历中访问它。二维码的使用具有战略意义，因为许多安全系统不会分析其内容，并且手机上的操作可以绕过公司保护。

第三个例子展示了高度的复杂性。虚假事件不仅利用诸如紧迫性和害怕损失（“您的域名company.com.br将在48小时内过期”）等心理触发因素，而且还会以“服务中断”为标题在受害者的日历中屏蔽整个星期。为了提高可信度，活动的与会者名单中包含了具有“管理员”和“IT 支持”等通用名称的虚构嘉宾，以模拟公司其他部门的参与。

此攻击的恶意负载是一个附加的 HTML 文件，打开后会在受害者计算机上本地执行完整的网络钓鱼工具包，在临时目录中创建虚假的 Microsoft 域服务页面，这使得网络过滤器的检测更加困难。

保护企业帐户的缓解措施

公司和用户检查其帐户的安全设置至关重要。您可以将 Google Workspace 和 Microsoft 365 配置为阻止自动邀请，要求用户在创建日历活动之前进行确认。

这个简单的配置更改是降低 ICS 网络钓鱼风险的最有效方法，确保即使电子邮件没有被安全网关完全拦截，恶意事件也不会出现在议程中。网关。员工对攻击性质的认识是至关重要的补充。

ICS 中利用的安全漏洞

通过日历邀请进行的网络钓鱼的成功是由于与生产力平台后端相关的防御系统的盲目性。犯罪分子利用了大多数公司都不知道存在的漏洞，将生产力工具变成了持久且难以消除的攻击媒介。为了消除这种不断演变的威胁，迫切需要采取新的网络安全策略来主动监控日历服务。