Phishing per Kalendereinladung nimmt stark zu

Sicherheitsforscher von Check Point haben mehrere groß angelegte Phishing-Kampagnen entdeckt, bei denen Angreifer gefälschte Kalendereinladungen nutzen, um Zugangsdaten für Microsoft-Konten zu stehlen. Eine eigens dafür entwickelte Erkennung identifizierte in den E-Mails von Kunden mehr als 302.386 einzigartige Phishing-Mails, die an mehr als 40.000 Organisationen gingen. Sie stammten von mehr als 33.890 verschiedenen Absenderdomains und über 247.270 Absenderadressen.

Volumen steigt seit September stark

Einen deutlichen Anstieg beobachtet Check Point seit dem 25. September 2026. Im April zählte das Unternehmen einige Tausend solcher E-Mails pro Monat, im September mehr als 118.000. In den ersten beiden Oktoberwochen waren es bereits mehr als 740.000. Den bislang höchsten Wert erreichte die Kampagne am 8. Oktober mit fast 200.000 E-Mails. Im Schnitt lag das Volumen bei mehr als 8.319 E-Mails pro aktivem Tag. Bis zum 15. Oktober war die Aktivität weiter zu beobachten.

Phishing: Keine Sicherheitslücke nötig

Die Angreifer nutzen zwei Methoden. Ein Teil der E-Mails enthält eine Einladung als Anhang im Kalenderformat .ics. Da es sich um gültige Kalenderdaten handelt, nutzt der Angriff laut Check Point keine Schwachstelle in Software aus, sondern Kalenderfunktionen und das Vertrauen der Nutzer. Andere E-Mails enthalten einen Link, der scheinbar zu einem anderen Ziel führt. In beiden Fällen landen Nutzer auf einer gefälschten Microsoft-Anmeldeseite, über die ihre Zugangsdaten abgegriffen werden.

Kalendereinladungen gehören zu den alltäglichsten Nachrichten im Arbeitsalltag und werden laut Check Point selten hinterfragt. Die große Zahl unterschiedlicher Absenderdomains erschwert es zudem, die Kampagnen über Sperrlisten zu blockieren.

Weitere Tarnungen

Neben Kalendereinladungen beobachten die Forscher ähnliche Kampagnen, die andere automatisch erzeugte Nachrichten nachahmen, etwa gefälschte Benachrichtigungen über Sprachnachrichten mit schädlichen Anhängen. Im Oktober hatte Microsoft zudem eine Kampagne der russischen Gruppe Storm-2945 gemeldet, die Nutzer über manipulierte WLAN-Anmeldeseiten in Hotels zu Anmeldungen per Gerätecode verleitete.

(red/Check Point)