دعوت‌های تقویم جعلی برای هزاران کسب‌وکار در کمپین فیشینگ اعتبار مایکروسافت

کمپین‌های فیشینگ از دعوت‌های تقویم و درخواست‌های جلسه برای سرقت اطلاعات کاربری Microsoft 365 سوء استفاده می‌کنند.

مهاجمان پیوندهای مخرب را در فایل‌های ics، جزئیات جعلی جلسات، کدهای QR و صفحات دعوت پنهان می‌کنند.

محققان صدها هزار ایمیل فیشینگ را مشاهده کردند که بیش از 40000 سازمان را هدف قرار داده بودند. اگر یک دعوتنامه تقویم در صندوق ورودی خود دریافت می کنید، مراقب باشید - ممکن است این یک فریب فیشینگ با دقت ایجاد شده باشد، که به گونه ای طراحی شده است که مایکروسافت 365 یا سایر اعتبارنامه های ورود به سیستم را تحویل دهید.

شرکت امنیتی Check Point Research (CPR) اخیرا زنگ خطر را برای «چندین کمپین فیشینگ در مقیاس بزرگ» به صدا درآورده است و از این واقعیت سوء استفاده می‌کند که تاجران به طور معمول دعوت‌نامه‌های تقویم را به اشتراک می‌گذارند و همه برای دریافت اعتبار قربانیان طراحی شده‌اند.

رویکرد متفاوت، نتیجه یکسان

CPR می گوید که دو رویکرد جداگانه را شناسایی کرده است. در برخی موارد، عوامل تهدید دعوت‌های تقویم را به‌عنوان پیوست‌های ics. به اشتراک می‌گذارند. این فیلترهای ایمیل را عبور می دهند (از آنجایی که نوع فایل خود بی ضرر است) و مستقیما وارد صندوق ورودی افراد می شود. در موارد دیگر، دعوت‌نامه‌ها به‌عنوان پیوند می‌آیند (که در نهایت قربانی را از تقویم خود دور می‌کند و مستقیما به یک تله هدایت می‌کند).

مورد اول مسلما خطرناک‌تر است: پیوست به عنوان یک درخواست ملاقات یا یک اعلان پرداخت پنهان می‌شود، و وقتی گیرنده دعوت را باز می‌کند یا می‌پذیرد، در تقویم او به پایان می‌رسد. گاهی اوقات، بسته به تنظیمات هر کاربر، ممکن است ورودی تقویم نیز به صورت خودکار پردازش شود. در هر دو مورد، محتوای جعلی اکنون شبیه یک قرار ملاقات کاری یا اعلان خدمات معمولی است.

تا کنون، هیچ یک از این چیزها به خودی خود مخرب یا خطرناک نیستند. در اینجا هیچ آسیب‌پذیری مورد سوء استفاده یا بدافزاری مستقر نشده است. با این حال، شرح رویداد، فیلد مکان یا کد QR تعبیه شده ممکن است قربانی را به صفحه ورود جعلی Microsoft 365 یا یک درگاه پرداخت جعلی هدایت کند. قربانی که متوجه نمی شود صفحات فرود جعلی شده اند، ممکن است در نهایت اعتبار ورود یا اطلاعات پرداخت خود را با مهاجمان به اشتراک بگذارد.

راه‌اندازی روش دوم آسان‌تر است، اما احتمالا اجرای آن سخت‌تر است. پیوندی که مستقیما در ایمیل قرار می‌گیرد، حتی اگر در ظاهر خوش‌خیم به نظر برسد، ممکن است توسط سرویس‌های امنیتی ایمیل پرچم‌گذاری شده و به صورت هرزنامه فیلتر شود. با این حال، اگر این حیله از بین برود، قربانیان زمان نسبتا سختی برای تشخیص این حیله خواهند داشت.

در یکی از نمونه‌هایی که توسط CPR به اشتراک گذاشته شد، قربانی دعوت‌نامه جعلی برای جلسه تیم‌های مایکروسافت دریافت کرد و به سادگی روی پیوند «پیوستن» نشان داد مقصد واقعی آن - یک صفحه جمع‌آوری اعتبار در یک وب‌سایت شخص ثالث.

کمپین های بزرگ

بر CPR تاکید شده است که کمپین ها بسیار بزرگ هستند و در حال رشد هستند. صدها هزار مورد از این ایمیل‌ها هر ماه از آدرس‌های ایمیل در معرض خطر بی‌شماری ارسال می‌شوند:

در این گزارش آمده است: «محققان ایمیل چک پوینت در حال ردیابی این کمپین‌ها هستند و از ۲۵ سپتامبر ۲۰۲۶ شاهد افزایش قابل توجهی بوده‌اند.

یک لایه شناسایی جدید که به طور خاص برای شناسایی این نوع حمله طراحی شده است، بیش از 302386 ایمیل فیشینگ منحصر به فرد را در بین ایمیل های مشتریان ما که به بیش از 40000 سازمان ارسال شده است، علامت گذاری کرده است.

CPR گفت که کمپین ها به طور متوسط ​​بیش از 8300 ایمیل در روز فعال هستند و افزود که این پیام ها از بیش از 33890 دامنه فرستنده مختلف و بیش از 247270 آدرس فرستنده منحصر به فرد ارسال شده است.

محققان نتیجه گرفتند: "فعالیت در حال محو شدن نیست، بلکه شتاب می گیرد. حجم روزانه از چند هزار ایمیل در ماه در آوریل به بیش از 118000 ایمیل در سپتامبر و به بیش از 740000 در تنها دو هفته اول اکتبر افزایش یافت. شلوغ ترین روز تنها تا کنون 8 اکتبر با تقریبا 200000 ایمیل بوده است."

فیشینگ یکی از قدیمی ترین و پرکاربردترین بردارهای حمله موجود است و دلیل خوبی هم دارد. علاوه بر همه‌جانبه بودن، ارزان‌ترین و مؤثرترین راه برای به خطر انداختن یک شبکه هدف است.

همانطور که گفته شد، دفاع در برابر آن معمولا حول محور عقل سلیم می چرخد. کارکنان باید آگاه باشند که ایمیل‌های ناخواسته خطر واقعی حملات سایبری را به همراه دارند و هر ایمیل یا پیام فوری که از گیرنده می‌خواهد فورا یک فایل را دانلود کند یا به یک سرویس وارد شود، به احتمال زیاد یک حمله است.