职场中再常见不过的日历会议邀请，正被黑客变成新的网络钓鱼入口。攻击者将恶意邀请伪装成正常会议日程，诱导受害者点击链接、填写个人信息。随着AI生成内容技术被引入此类攻击，风险还在进一步加大。
据Business Insider 12日报道，邮件安全公司Sublime的数据显示，8月其监测到的日历会议邀请类攻击环比激增1216%。Microsoft也表示，6月通过会议邀请传播的恶意文件数量较前一个月增长277%。
这类攻击利用的，正是职场用户对同事、客户会议邀请的信任。与普通邮件附件不同，会议邀请中的恶意链接即使不以附件形式出现，也可能直接出现在日程详情中，增加用户中招概率。
从攻击方式看，最常见的做法是在伪造的会议邀请中嵌入钓鱼网站链接，或附带恶意软件下载地址。还有攻击者冒用真实员工姓名，并借助AI生成的音频、视频在视频会议中伪装成可信身份，进一步提升欺骗性。
印度设计公司Say Design联合创始人Aman Gairola表示，今年6月，他曾点击一名潜在客户发来的会议邀请中的Google Drive链接，随后发现该链接实际指向仿冒网站。由于核对了网址，他最终没有下载相关文件。
另有案例显示，攻击者还会先劫持熟人账号，再借此发起钓鱼攻击。登山者Jenn Drummond的邮箱账号遭入侵后，黑客向其联系人发送冒充法院传票的日历邀请，链接则跳转至一页虚假的法律通知页面，用于套取金融信息。
业内人士警告称，能够替用户自动处理邀请的AI代理，也可能演变为新的安全风险点。
身份安全厂商Okta表示，面对愈发复杂的高仿真钓鱼攻击，仅靠用户提高警惕已难以有效防范，因此建议引入Passkey。Okta指出，Passkey与真实服务域名绑定，有助于降低用户在仿冒登录页面泄露认证信息的风险。
记者信息
Jae-won Choi
ittt_0801@d-today.co.kr