Check Point：假日历邀请钓鱼 10 月头两周发出 74 万封，瞄准 4 万多家机构
Check Point 10 月 15 日称假日历邀请瞄准 4 万多家机构的微软 365 凭证，10 月头两周发了 74 万封，全程没有利用软件漏洞。
10 月 15 日，Check Point 的邮件安全研究团队公布一批检测数据：自 9 月 25 日起量的一轮假日历邀请钓鱼活动里，他们新上线的检测层在客户邮件中标记出超过 302,386 封独特钓鱼邮件，收件方覆盖 4 万多家机构，10 月头两周的投递量已超过 74 万封。这场钓鱼不碰任何软件漏洞——Check Point 的说法是它「滥用日历功能和用户信任」，载体 .ics 是合法日历数据，邮件过滤器照常放行；恶意载荷藏在日历条目本身，指向仿冒的微软登录页。
要点
- Check Point 检测层在客户邮件里标记出 302,386+ 封独特钓鱼邮件，收件方为 40,000+ 家机构；这些邮件来自 33,890+ 个发件域名、247,270+ 个发件地址，活跃日日均 8,319+ 封（Check Point 10 月 15 日口径）。
- 9 月 25 日起量后单月 118,000+ 封，10 月头两周 740,000+ 封，最忙的一天是 10 月 8 日的近 200,000 封；4 月时这个量级还只是每月几千封。
- 两种载荷形式：恶意
.ics附件，以及假的微软 Teams 会议邀请——「加入」按钮的真实落点是第三方站点上的凭证收割页，页面做成login.microsoft.com的样子。
背景
日历钓鱼的运作机制，Guardian 10 月 11 日的报道里有人把它讲得比检测数据更直白。Sublime Security 的威胁检测工程师 Luke Wescott 说，Google 日历这类应用可以在用户不点任何东西的情况下自动添加邀请，「所以他们甚至不需要你打开那封邮件」。落进日历之后，这条假事件就排在你的牙医预约和老板的一对一旁边，自带着一份来路正当的观感。Cofense 的情报分析经理 Max Gannon 补充说，有的钓鱼者干脆借 Zoom 这类合法平台发邀请，让收件人和安全软件一起被骗。
这轮活动的转向早有苗头。Check Point 的数据显示，同一手法 4 月时每月只有几千封，9 月冲到 118,000 封以上，10 月头两周直接跳到 740,000 封以上。TechRadar 10 月 16 日的报道提到 Check Point 对「几起大规模钓鱼活动」发出警告，日历邀请只是其中一类；Check Point 自己的博客补上了同一家族的其他伪装：攻击者还会滥用其他可信的自动通知，例如带恶意附件的假语音留言。
事实部分
Check Point 10 月 15 日博客给出的数字（官方检测层口径，只看他们客户的邮件）：
| 指标 | 数值 |
|---|---|
| 标记出的独特钓鱼邮件 | 302,386+ 封 |
| 波及机构 | 40,000+ 家 |
| 发件域名 | 33,890+ 个 |
| 独立发件地址 | 247,270+ 个 |
| 活跃日日均 | 8,319+ 封 |
| 9 月（起量当月） | 118,000+ 封 |
| 10 月头两周 | 740,000+ 封 |
| 单日峰值 | 10 月 8 日，近 200,000 封 |
攻击路径有两支。一支是邮件里带恶意 .ics 附件，标题写成会议请求或付款通知，TechRadar 的描述是这种文件类型本身无害所以能过过滤器；条目落进日历后，描述、地点字段里藏着指向假登录页的链接，TechRadar 另外提到邀请里嵌的二维码也可以藏载荷。另一支是假的 Teams 会议邀请，「加入」按钮的真实落点是第三方站点上的凭证收割页。Guardian 的说法同源：事件描述里放链接或电话号码，链接通往仿冒微软、Google、PayPal 的登录页，电话那头是让你「取消一笔从未发生的扣款」的假客服。
TechRadar 的报道里还有两条 Check Point 博客没写的细节：这些邮件来自被攻陷的真实邮箱地址；落到用户这一侧时，页面要么是假的微软 365 登录页，要么是假的付款门户。按 Check Point 的描述，整个过程既没部署恶意软件，也没用到任何漏洞。
各方说法
三个来源在「这是什么级别的威胁」上并没有互相冲突，但覆盖的面不同。Check Point 只谈自己看到的那一轮微软定向活动，给出了具体数字，没做跨厂商的概括。TechRadar 在转述 Check Point 的同时补了载荷的多个藏身位置和「发件地址是攻陷来的」这一条。Guardian 则把视野拉到日历钓鱼这个大类：Luke Wescott 的定性是「同样的技术，只是换了投递方式」，并且给了「在你点进去或者打那个电话之前，你并没有被攻陷」的边界说明。
关于自动添加的默认设置，Wescott 的建议具体可操作：关掉自动接受邀请，只接收已知发件人的；看到可疑邀请不要点「拒绝」，因为那会告诉对方这个地址是活的——「改删掉，或者标成垃圾邮件」。Gannon 的总结则带着一点悲观：借 Zoom 这类合法平台发邀请让拦截变得很难，「连 AI 加持的拦截器也吃力」，而这些平台不能一刀切全封，封了就等于连正常会议邀请一起挡掉。
编辑判断
这一轮活动值不值得单独立项防，取决于你们内部账号的权限结构。拿的是普通员工的微软 365 账号，代价是那一份邮箱内容和工作文件；拿到的是共享管理员、邮件流或 Azure 订阅的权限，代价是租户级的横向移动。据 Guardian 的报道，交出账号密码等于把它交到诈骗者手上：他们会把它和其他人的资料打包卖掉，或者用它闯进你的工作邮箱。负责内部账号和权限的团队需要一条独立的检测规则，而不是指望通用邮件过滤器的信誉库更新——这批邮件来自三万个以上域名、二十四万个以上地址，域名信誉这条路数不过来。
诚实地说，Check Point 的数字只覆盖他们自己客户的邮件，4 万多家机构是「被盯上」不是「已失陷」，两个数字差了十万八千里，引用的时候别混。同样，Guardian 里 Sublime Security 说的「指数增长」是定性说法，没有公开的统计口径，不能拿来和 Check Point 的数字叠着算。
对普通用户来说，最省事的一步还是防钓鱼凭据。同一话题本站之前写过：Passkeys 陷阱论遭逐条反驳那篇里，TOTP 可被实时中继、而 passkey 绑定域名中继不了，正好是这轮钓鱼想要的那份东西的反面。