Фишинг через .ics-файлы календаря вырос почти на 33 000% за лето

Коротко: злоумышленники массово используют файлы формата .ics (приглашения в календарь) как контейнер для фишинга — почтовые фильтры их почти не проверяют, а Gmail, Outlook и Apple Mail автоматически добавляют события в календарь ещё до того, как письмо открыто. По данным Sublime Security, с мая по сентябрь 2026 объём таких атак вырос примерно на 33 000%, а в приглашения всё чаще прячут QR-коды, ведущие на поддельные страницы входа.

Что произошло

Компания Sublime Security, занимающаяся анализом email-угроз, опубликовала данные о резком всплеске атак через вредоносные календарные приглашения: рост на 282% в июне по сравнению с маем, на 338% в июле к июню, на 1216% в августе к июлю и ещё на 1426% за первую половину сентября к целому августу. В сумме с мая по сентябрь объём атак увеличился примерно на 33 000%. Большинство вредоносных приглашений рассылается через инфраструктуру Google — то есть Gmail и Google Calendar.

Параллельно о росте этого вектора сообщили и другие компании: Mimecast и Fortra описали кампании, где атакующие намеренно формируют .ics-файл с нарушением спецификации RFC 5545 (стандарт iCalendar) — так, чтобы автоматические анализаторы безопасности не смогли корректно его разобрать и пропустить проверку, а почтовый клиент при этом всё равно показал событие пользователю.

Как работает атака

Схема использует особенность формата .ics и логики почтовых клиентов:

1. Жертве приходит письмо с приглашением на встречу — обычно оформленное под рабочее уведомление или бронирование.
2. Клиент почты (Gmail, Outlook, Apple Mail) автоматически добавляет событие в календарь ещё до того, как пользователь открыл письмо или кликнул по чему-либо.
3. В описании события или вложении прячется QR-код либо ссылка — вместо прямой ссылки в теле письма, которую легче поймать фильтрам.
4. Сканирование QR-кода ведёт на поддельную страницу авторизации (чаще всего имитирующую вход Microsoft), уже заполненную e-mail жертвы, что снижает подозрительность.

Ключевая проблема — разрыв зон ответственности внутри самих почтовых сервисов: системы защиты писем проверяют тело сообщения и вложения, но событие в календаре живёт отдельно от письма. Даже если вредоносное письмо помещено в карантин, спам или удалено, созданное им событие календаря может остаться на месте — пользователь увидит его позже и не свяжет с подозрительным письмом.

Что делать, если в календаре появилось подозрительное событие

Несколько простых правил снижают риск:

• Не нажимайте «Принять» и «Отклонить». Любой ответ на приглашение подтверждает атакующему, что ваш e-mail активен — даже отклонение встречи.
• Не сканируйте QR-коды из незнакомых приглашений и не переходите по ссылкам в описании события.
• Удаляйте событие вручную из календаря и жалуйтесь на письмо как на спам — это не удалит событие автоматически, но снизит вероятность повторных писем от того же отправителя.
• Проверяйте организатора встречи — настоящие рабочие приглашения приходят с узнаваемых корпоративных адресов, а не с личных Gmail-ящиков с незнакомым именем.
• Для бизнеса: отключите автоматическое добавление приглашений от внешних отправителей в настройках почтового сервера — это ломает часть обычных сценариев бронирования встреч, но закрывает основной путь атаки.

Если ссылка из подозрительного письма или события всё же была открыта, а данные — введены, дальнейшие шаги такие же, как при любом фишинге: срочно смените пароль, включите двухфакторную аутентификацию и проверьте список активных сессий в аккаунте. Общие принципы безопасной работы с подозрительными вложениями и ссылками мы разбирали в разделе безопасность файлов, а полный список рискованных расширений — в карте опасных расширений.

Что это значит для работы с файлами

История с .ics — очередное напоминание, что «безобидных» форматов не бывает: атакующие ищут не самые разрушительные форматы, а самые недопроверенные. Ранее похожим образом злоумышленники использовали для обхода фильтров SVG-картинки и стеганографию в PNG — об этом мы писали в материале про отчёт ESET о росте quishing-атак. Календарные приглашения продолжают эту логику: формат выглядит технически и неинтересным для проверки, а на деле открывает путь к краже учётных данных.

Для обычного пользователя практический вывод один: относиться к незнакомым событиям в календаре так же настороженно, как к письмам от незнакомых отправителей — не кликать, не сканировать QR-код, не вводить пароль на странице, куда привела ссылка из приглашения.

Источники

• Sublime Security — Sublime observes massive uptick in ICS phishing and calendar-based malware attacks
• TechRadar Pro — Calendar-based phishing has jumped 33,000% since May
• Mimecast — The Rise of Calendar Invite Abuse: Malformed ICS Files & QR Code Phishing