Fałszywe spotkania w elektronicznym kalendarzu – gwałtownie przybywa oszustw typu phishing

Oszuści coraz częściej podrzucają do elektronicznych kalendarzy fałszywe wpisy o spotkaniach, odnowieniu subskrypcji czy płatnościach, by wyłudzić dane logowania. Jak podaje dziennik The Guardian, firmy zajmujące się cyberbezpieczeństwem odnotowują „wykładniczy wzrost” takich ataków. Wpis pojawia się w kalendarzu automatycznie, nawet jeśli e-mail z zaproszeniem trafił do spamu albo nie został otwarty. Eksperci radzą traktować nieoczekiwane wpisy jak podejrzane wiadomości i nie klikać zawartych w nich linków.

Scenariusz bywa prosty. Ktoś przygotowuje się do nadchodzącego tygodnia, zagląda do kalendarza Google i widzi spotkanie, o którym najwyraźniej zapomniał. W opisie jest informacja o przeglądzie projektu i link do szczegółów. Zdezorientowany użytkownik klika, a strona, na którą trafia, prosi o dane logowania. Podaje je.

To nie jest jednak luka w pamięci, lecz oszustwo typu phishing z wykorzystaniem kalendarza. Nazwa użytkownika i hasło trafiają do przestępców, którzy mogą je sprzedać w pakiecie z danymi innych osób, użyć ich do włamania się na służbową skrzynkę pocztową albo do przekonania ofiary, że kontaktują się z nią w imieniu banku lub innej instytucji.

„Pożyczona wiarygodność”

Luke Wescott, inżynier ds. wykrywania zagrożeń w firmie Sublime Security, przyznaje, że phishing kalendarzowy to wciąż stosunkowo nowe zjawisko, ale firma obserwuje jego „wykładniczy wzrost”.

Oszustwo przybiera różne formy, m.in. fałszywego spotkania albo przypomnienia o odnowieniu płatnej usługi. W każdym przypadku w elektronicznym kalendarzu pojawia się nowy wpis.

Trafia tam, gdy oszuści wyślą na służbowy lub prywatny adres e-mail zaproszenie do kalendarza. Nie ma znaczenia, czy adresat je przeoczy, czy wiadomość wyląduje w folderze ze spamem.

Aplikacje kalendarza, takie jak Kalendarz Google, mogą dodawać zaproszenia automatycznie, nawet bez akceptacji użytkownika. Oszuści nie potrzebują więc nawet, żeby ktoś otworzył e-mail – wyjaśnia Wescott.

Choć wiadomość od nieznanego nadawcy łatwo zignorować, wpis w kalendarzu bywa traktowany inaczej. „To może dawać pożyczoną wiarygodność, bo pojawia się w tym samym miejscu, co wizyta u dentysty albo cotygodniowa rozmowa w cztery oczy z szefem” – zauważa ekspert.

Max Gannon, kierownik ds. analiz w firmie zajmującej się cyberbezpieczeństwem Cofense, zwraca uwagę, że część oszustów wysyła zaproszenia przez legalne platformy, takie jak Zoom. Dzięki temu wyglądają one bardziej przekonująco zarówno dla odbiorców, jak i dla oprogramowania zabezpieczającego.

„To sprawia, że naprawdę trudno je zablokować. Nawet blokady oparte na sztucznej inteligencji mają z tym problem” – mówi. Jak dodaje, filtr odrzucający zaproszenia z takich platform „zablokowałby też wszystkie prawdziwe zaproszenia na spotkania”.

Jak wyglądają fałszywe wpisy

Ofiara dostaje e-mail i widzi nowy wpis w kalendarzu. Tytuły bywają różne – wśród przykładów, do których dotarł The Guardian, są fałszywe spotkania, powiadomienia o wiadomościach głosowych i odnowieniach oprogramowania.

Według Wescotta to standard. „Zwykle widzimy wpisy w rodzaju »Otrzymano nową wiadomość głosową«, »Potwierdzenie płatności – 298,99 dolara«, ostrzeżenia o »nietypowej aktywności w PayPal«, »Twoja płatność automatyczna zostanie zrealizowana w ciągu 24 godzin« oraz zaproszenia do złożenia oferty w przetargu” – wylicza.

Gannon zaznacza, że zaproszenie może wyglądać tak, jakby pochodziło z wnętrza firmy. „Jeśli chcą, mogą upodobnić je do wewnętrznego zaproszenia. Mogą dostosować treść, na przykład dodać logo firmy” – mówi.

W opisie wydarzenia zwykle znajduje się link albo numer telefonu.

Albo chcą, żeby kliknąć link prowadzący do fałszywej strony logowania, np. Microsoftu, Google czy PayPala, i wpisać hasło, albo żeby zadzwonić pod numer „wsparcia technicznego” i anulować obciążenie, do którego w rzeczywistości nigdy nie doszło – tłumaczy Wescott.

Dopóki użytkownik nie kliknie linku ani nie zadzwoni, jego dane są bezpieczne. Oszuści nie mają dostępu do całego kalendarza – próbują jedynie zwabić ofiarę tam, gdzie poda swoje dane.

Jak podsumowuje Wescott, „to brzmi znajomo, jak typowy phishing – to ta sama technika, tylko z innym sposobem dostarczenia”.

Co radzą eksperci

Nieoczekiwane spotkanie czy przypomnienie w kalendarzu nie jest powodem do paniki. Eksperci zalecają traktować je jak niespodziewany e-mail i nie klikać linku.

„Moja najważniejsza rada jest taka, że ludzie po prostu muszą być podejrzliwi. Nie ma znaczenia, czy zaproszenie przyszło od kogoś, kto siedzi dwa biurka dalej – trzeba podchodzić z nieufnością do wszystkiego” – mówi Gannon.

Wescott radzi wyłączyć automatyczne akceptowanie zaproszeń. W ustawieniach Kalendarza Google można wybrać opcję, by przyjmować zaproszenia tylko od znanych nadawców albo dopiero po ich zaakceptowaniu.

Nie klikajcie »odrzuć« przy podejrzanych zaproszeniach, bo to może zdradzić nadawcy, że wasz adres jest »aktywny«. Zamiast tego usuńcie zaproszenie albo zgłoście je jako spam – dodaje.