Podvodníci napadají Google Kalendář. Jedna falešná pozvánka vám může vybílit účet

Tichá hrozba v osobním plánovači

Pátek odpoledne, pracovní den se chýlí ke konci. Pracovník otevře Google Kalendář a uprostřed příštího týdne zahlédne záznam: „PayPal: Souhlas s automatickou platbou 298,99 USD“. V popisu stojí výzva ke zrušení transakce přes přiložený odkaz.

Nikdo mu žádnou pozvánku neschválil. Nikdy ji ani neotevřel. Záznam se v plánovači objevil sám, jako by tam vždycky patřil.

Tím to začíná. Platformy jako Google Workspace, Gmail nebo Microsoft 365 čelí novému náporu sociálního inženýrství a krádeží přihlašovacích údajů. Útočníci zneužívají standardizované soubory iCalendar (.ics) a výchozí mechanismus pozvánek e-mailových služeb.

Jak vypadá past v praxi

Většina kalendářů má ve výchozím nastavení zapnuté automatické zapisování událostí z příchozích pozvánek. Záznam vznikne dřív, než pozvánku schválíte, a dokonce dřív, než vůbec otevřete e-mail.

Vzniká tak bezpečnostní mezera. E-mailový filtr sice zprávu zachytí nebo odsune do karantény, jenže propojená kalendářová služba událost přesto vytvoří a ukáže ji přímo na displeji.

Uživatel v domnění, že jde o skutečný problém, klikne na odkaz. Ten vede na podvrženou stránku, která vypadá jako přihlášení do Googlu nebo PayPalu. Po zadání hesla a potvrzení výzvy v mobilu (Tap-Yes) oběť nevědomky předá aktivní relaci útočníkovi, který převezme účet i bez znalosti trvalého hesla.

První šok přesně vystihuje jeden z uživatelů: „Otevřel jsem ráno Google Kalendář a přímo mezi pracovními schůzkami jsem měl zapsanou událost o stržení peněz za předplatné, které jsem si nikdy neobjednal. Zpanikařil jsem, že mi někdo vykradl kartu, ale ve skutečnosti to byl jen podvodný mail, který mi kalendář sám od sebe přidal bez mého souhlasu.“

Obcházení dvoufázového ověření a masivní nárůst

Pokročilé útoky pod názvem Operation Cloudfire nasazují reverzní proxy servery (AiTM – Adversary-in-the-Middle). Ty v reálném čase zprostředkovávají komunikaci mezi obětí a oficiálním serverem Google.

Útočníci tak obcházejí standardní dvoufázové ověření, tedy SMS kódy, aplikace TOTP i výzvy Tap-Yes či Number matching. Stačí jim zachytit aktivní přihlašovací relaci (session token).

Data společností Sublime Security a Material Security ukazují extrémní nárůst ICS phishingových útoků. V červnu vzrostl jejich počet o 282 % oproti květnu, v červenci o 338 % oproti červnu, v srpnu o 1 216 % oproti červenci a v první polovině září o 1 426 % oproti celému srpnu. Celkový projektovaný nárůst dosáhl přibližně 33 000 %. V rámci Operace Cloudfire bylo odstaveno více než 500 podvodných domén.

Odhalení zásadních mýtů

Kolem podvržených pozvánek koluje řada polopravd a nesprávných rad.

Mýtus 1: Cizí událost v kalendáři znamená, že byl váš účet napaden. Realita je jiná: neznámá schůzka nebo upozornění na platbu neznamená, že byl účet prolomen nebo zařízení infikováno. K ohrožení dochází až po aktivní interakci oběti, tedy kliknutím na odkaz, zadáním údajů nebo stažením souboru.

Mýtus 2: Nejlepším řešením je událost odmítnout tlačítkem Odmítnout (Decline). Realita: kliknutí na „Odmítnout“ odešle odesílateli automatickou stavovou zprávu. Útočníkům tím potvrdíte, že je e-mailová adresa aktivní a vhodná pro další cílené útoky.

Jak se správně bránit a pohled odborníka

Joshua Kamdjou, CEO a spoluzakladatel bezpečnostní společnosti Sublime Security, k tomu uvádí: „Znepokojující na kalendářovém phishingu je to, že zdvojnásobuje šanci útočníka na úspěch – doručí e-mail do schránky a současně vytvoří událost v kalendáři oběti. Vzniká tak bezpečnostní mezera, protože automatické odstraňování škodlivých záznamů z kalendářů stále není běžnou součástí standardních e-mailových bezpečnostních nástrojů.“

Kalendář zabezpečíte preventivní změnou nastavení. Přejděte na Nastavení -> Nastavení událostí -> Přidávat pozvánky do mého kalendáře a změňte volbu na „Pouze pokud je odesílatel známý“ nebo „Až odpovím na pozvánku v e-mailu“.

Pokud v kalendáři neznámou událost objevíte, bezpečným postupem je zvolit „Nahlásit jako spam“ (Report as spam). Nejúčinnější technickou obranou proti pokročilým AiTM útokům jsou hardwarové klíče FIDO2/WebAuthn nebo Passkeys svázané s konkrétní doménou.