Что такое фишинг через приглашения в календаре
Механика атаки проще, чем кажется. Злоумышленник отправляет письмо с вложением в формате .ics (iCalendar) — это такой же обычный текстовый файл, как .txt, только со специальной разметкой события: заголовок, время, описание, место проведения. Большинство почтовых сервисов и клиентов — Gmail, Outlook, Apple Mail — читают .ics автоматически и сами создают из него запись в календаре получателя, без явного действия пользователя. Дальше работает обычная логика напоминаний: в нужный момент на телефоне или компьютере появляется всплывающее окно со ссылкой «присоединиться к встрече» или «посмотреть детали».
Масштаб явления вырос резко именно в 2026 году. По данным Check Point, число вредоносных писем с календарными приглашениями увеличилось от нескольких тысяч в месяц в апреле до более 118 000 в сентябре и свыше 740 000 только за первые две недели октября. Sublime Security зафиксировала рост объёма таких атак на 1 216% месяц к месяцу в августе 2026 — то есть кампании не единичны, а идут потоком, нацеленным на корпоративную и личную почту одновременно.
Работает этот канал атаки именно потому, что календарь воспринимается как доверенное личное пространство, а не как «входящая почта», откуда привычно ждать подвоха. Напоминание о встрече приходит в «правильный» момент — перед началом рабочего дня, за 10 минут до события — и человек реагирует на него быстрее и менее критично, чем на письмо с неизвестного адреса, лежащее во вкладке «Промоакции».
Почему спам-фильтр не спасает
Ключевая особенность календарного фишинга в том, что почта и календарь — это, по сути, два разных конвейера обработки одного письма. Спам-фильтр может корректно распознать письмо как подозрительное и отправить его в карантин или папку «Спам». Но обработчик вложений .ics нередко срабатывает раньше или параллельно, независимо от вердикта антиспам-системы, — и событие всё равно попадает в календарь получателя. По сути, пользователь никогда не видел исходное письмо, но уже получил от него «подарок» в виде записи на нужную дату.
Специалисты Sublime Security прямо описывают эту особенность: приглашение может остаться в календаре жертвы, даже если письмо с ним было корректно помечено как спам и помещено в карантин. Аналитики Rapid7 Labs называют автодобавление «невидимым кликом» — пользователь не нажимал ничего, не открывал вложение руками, но действие (создание события) всё равно произошло от его имени.
Есть и второй сценарий, который сложнее фильтровать технически: приглашение приходит не с подставного, а с реального, но взломанного почтового аккаунта коллеги, партнёра или знакомого. Формально отправитель легитимен, домен легитимен, репутация адреса не вызывает подозрений у антиспам-системы — а содержимое события всё равно ведёт на фишинговый ресурс.
Как выглядит поддельное приглашение — признаки
- Отправитель вам неизвестен или использует бесплатный почтовый ящик (не корпоративный и не личный адрес, с которым вы уже переписывались).
- В описании или названии события — искусственная срочность: «доступ истекает через 15 минут», «подтвердите аккаунт сегодня», «встреча начинается прямо сейчас».
- Тема события финансовая: «счёт на оплату», «возврат средств», «вы выиграли» — для личного или рабочего календаря такие формулировки нетипичны.
- Ссылка на встречу стоит не в стандартном поле видеоконференции, а вставлена прямо в текст описания или в поле «Место» — обычные приглашения Google Meet, Zoom и Teams формируют ссылку автоматически через интеграцию, а не руками организатора.
- В описании события — QR-код вместо обычной ссылки; это тот же приём, что используется в квишинге (подробно — в статье про QR-мошенничество и квишинг), только перенесённый в календарь.
- Организатор подписан как «служба безопасности», название банка или крупного маркетплейса — но такие организации не рассылают персональные приглашения в календарь.
Куда ведут ссылки из фейковых событий
Цель почти всегда одна из трёх. Первый вариант — поддельная страница входа, визуально копирующая Microsoft 365 или Google, где форма просит логин и пароль, а иногда и код двухфакторной аутентификации «для подтверждения личности». Второй — фальшивая страница видеоконференции Zoom или Teams, которая вместо подключения к звонку предлагает скачать «обновление плеера» или «кодек», под видом которого устанавливается инфостилер — вредонос, который ворует сохранённые пароли и файлы cookie из браузера (механика подробно разобрана в статье про инфостилеры). Третий вариант смыкается со сценарием ClickFix: жертве показывают псевдо-капчу или «проверку безопасности», которая на деле заставляет вручную выполнить вредоносную команду — этот приём разобран в статье про поддельную капчу ClickFix.
| Приманка в событии | Что пытаются получить | Как проверить |
|---|---|---|
| Ссылка «присоединиться к встрече» | Логин, пароль и код 2FA на фейковой странице входа | Открыть сервис вручную по закладке, не по ссылке из события |
| «Счёт на оплату» / «возврат средств» | Данные банковской карты | Проверить операцию в личном кабинете банка или сервиса напрямую |
| Файл или «обновление плеера» | Установка вредоносного ПО на устройство | Не скачивать и не запускать файлы из описания календарного события |
| QR-код в описании | Переход на фишинговый сайт с телефона, в обход фильтров на компьютере | Не сканировать QR-коды из приглашений неизвестных отправителей |
| «Звонок в поддержку» с номером телефона | Социальная инженерия по телефону, диктовка кодов подтверждения | Звонить только по номеру, указанному на официальном сайте сервиса |
Как отключить автоматическое добавление приглашений
Google Календарь в браузере (Chrome, Windows)
Откройте calendar.google.com, нажмите значок шестерёнки и выберите «Настройки». В разделе «Настройки мероприятий» найдите пункт «Добавлять приглашения в мой календарь» — по умолчанию там стоит вариант «От всех». Смените его на «Только от известных отправителей» (то есть от людей из ваших контактов, вашей организации, либо тех, с кем вы уже переписывались ранее) или на более строгий вариант «Если я отвечу на приглашение по электронной почте». После смены настройки новые приглашения от незнакомых адресов больше не создают события автоматически — они остаются только во входящих письмах, пока вы сами не решите их принять.
Google Календарь на Android
Настройка обработки приглашений хранится на уровне аккаунта Google, а не конкретного устройства, поэтому проще и надёжнее поменять её один раз в веб-версии — изменение автоматически синхронизируется на телефон и приложение Google Календарь. Если подозрительное событие уже появилось на телефоне, не нажимайте ссылки внутри него — просто удалите запись так же, как любое другое ненужное событие.
Outlook и Microsoft 365
В классическом Outlook можно ограничить автоматическую обработку приглашений на собрания и автоматических ответов на них в разделе параметров почты, связанном с отслеживанием приглашений — конкретное название пункта зависит от версии клиента. Корпоративным пользователям Microsoft 365 стоит дополнительно уточнить у администратора, настроена ли на уровне организации фильтрация вложений .ics от внешних отправителей — это снижает риск до того, как приглашение попадёт к конкретному сотруднику.
Календарь на Windows и других устройствах
Отдельный источник риска — подписки на внешние календари (подписанные .ics-ленты), которые когда-то были добавлены в приложение «Календарь» на Windows или в другие программы. Если вы не помните, зачем подписались на тот или иной календарь, или не узнаёте его название, стоит открыть список подписок в настройках приложения и удалить всё незнакомое — такая подписка может регулярно подсовывать новые фейковые события без каждого отдельного письма-приглашения.
Что делать, если фейковое событие уже в календаре
Самое безопасное действие — удалить подозрительное событие, не нажимая кнопку «Отклонить» с отправкой ответа организатору: ответ любого типа подтверждает отправителю, что ваш почтовый адрес реальный и активно используется, поэтому в спорных случаях аккуратнее будет просто стереть запись без обратной связи. Если в вашем почтовом клиенте есть возможность пожаловаться на письмо-источник как на спам — используйте её, это помогает фильтрам распознавать похожие кампании быстрее.
Если отправитель закрепился у вас в списке контактов (иногда это происходит автоматически после переписки), стоит зайти на contacts.google.com, найти его в разделе «Другие контакты» и удалить — так вы снижаете шанс, что следующее его приглашение автоматически попадёт в категорию «известных отправителей».
Если вы уже перешли по ссылке из события и ввели пароль на подозрительной странице — действовать нужно быстрее, чем размышлять, была ли страница настоящей. Смените пароль от затронутого аккаунта, проверьте список активных сеансов и подключённых устройств и завершите все незнакомые, включите двухфакторную аутентификацию, если она не была включена, а лучше — замените пароль на passkey, который физически невозможно ввести на фишинговой странице, потому что он не передаётся как текст.
Помогает ли VPN против календарного фишинга
Если честно — напрямую нет. VPN шифрует трафик между вашим устройством и сервером, скрывает реальный IP-адрес и защищает соединение в открытых сетях, например в кафе или аэропорту, где кто-то в той же Wi-Fi-сети теоретически может перехватывать незащищённый трафик. Но VPN не анализирует содержимое вашего календаря, не проверяет, настоящая ли ссылка на встречу, и не остановит вас физически, если вы сами введёте пароль на поддельной странице входа — это два разных уровня защиты (подробный разбор того, от чего защищает VPN, а от чего нет, в отдельной статье).
Практическая польза VPN здесь — именно в защите канала, когда вы открываете почту или календарь через публичный Wi-Fi: приложение LiMP VPN для Chrome шифрует соединение прямо в браузере, добавляя слой защиты сети вокруг тех действий, которые вы и так выполняете каждый день. Но саму привычку проверять отправителя и настройку автодобавления приглашений VPN не заменяет — это разные задачи.
Чек-лист: как защитить календарь от фишинга
- Смените настройку автодобавления приглашений на «Только от известных отправителей» или строже.
- Не переходите по ссылкам из событий, которые вы не ждали или не назначали сами.
- Открывайте сервисы видеоконференций и личные кабинеты вручную, через закладку или поиск, а не через ссылку в приглашении.
- Включите двухфакторную аутентификацию на почте и, где возможно, перейдите на passkey.
- Проверьте список подписок на внешние календари и удалите те, которые не узнаёте.
- Загляните в раздел «Другие контакты» своего почтового аккаунта и удалите неизвестных отправителей, попавших туда автоматически.
- Никогда не сканируйте QR-код из календарного события неизвестного происхождения.
- Расскажите об этой схеме коллегам и близким — календарный фишинг рассчитан именно на то, что про него пока мало кто слышал.
