Kyberrikolliset ovat lähettäneet yli 40 000 organisaatioon satojatuhansia väärennettyjä kalenterikutsuja, joilla yritetään varastaa Microsoft-tilien käyttäjätunnuksia ja salasanoja, kertoo kyberturvallisuusyhtiö Check Point.
Yhtiön tutkijat ovat havainneet laajoja tietojenkalastelukampanjoita, joissa tavallisen näköisiä kokouskutsuja käytetään uhrien huijaamiseen. Check Pointin uusi tunnistusjärjestelmä on merkinnyt yli 302 000 yksilöllistä tietojenkalasteluviestiä.
Kampanjoiden määrä alkoi yhtiön mukaan kasvaa voimakkaasti syyskuun 25. päivän jälkeen. Vilkkaimpana päivänä 8. lokakuuta havaittiin lähes 200 000 viestiä.
Hyökkäysten teho perustuu siihen, että kalenterikutsut ovat tavallinen osa työpäivää eikä niitä välttämättä tarkastella yhtä epäluuloisesti kuin muita sähköpostiviestejä.
Osassa viesteistä mukana on .ics-muotoinen kalenteritiedosto. Tiedosto itsessään sisältää kelvollista kalenteridataa, joten hyökkäys ei perustu ohjelmistohaavoittuvuuteen vaan kalenteritoimintojen ja käyttäjän luottamuksen väärinkäyttöön.
Toisessa Check Pointin esimerkissä viesti näyttää Microsoft Teamsin kokouskutsulta. Liittymislinkki johtaa kuitenkin Microsoftin palvelun sijasta sivulle, jonka tarkoituksena on kerätä käyttäjän Microsoft-tunnukset.
Viestien määrä on kasvanut nopeasti
Check Pointin mukaan viestit lähetettiin yli 33 890 eri lähettäjäverkkotunnuksesta ja yli 247 270 yksilöllisestä lähettäjäosoitteesta. Aktiivisina päivinä viestejä on havaittu keskimäärin yli 8 300.
Yhtiön tilastoissa hyökkäysten kokonaisvolyymi kasvoi huhtikuun muutamasta tuhannesta viestistä yli 118 000 viestiin syyskuussa. Lokakuun kahden ensimmäisen viikon aikana havaintoja kertyi jo yli 740 000.
Toiminta ei Check Pointin mukaan ole hiipumassa. Vastaavia hyökkäyksiä havaittiin vielä 15. lokakuuta.
Tutkijat ovat nähneet myös muita kampanjoita, joissa rikolliset jäljittelevät työympäristöstä tuttuja automaattisia ilmoituksia. Esimerkiksi väärennettyjä vastaajaviestien ilmoituksia on käytetty haitallisten liitteiden levittämiseen.