会社員が日常的に使うカレンダー招待が、新たなフィッシング攻撃の経路として悪用されている。正規の会議予定を装って不正リンクのクリックや個人情報の入力を促す手口で、AIで生成した音声や映像を使ったなりすましも確認されており、警戒が強まっている。

米Business Insiderが12日（現地時間）に報じたところによると、メールセキュリティ企業Sublimeが検知したカレンダー起点の攻撃は、8月に前月比1216％増となった。Microsoftも、カレンダー招待形式の悪意あるファイルが6月に前月比277％増えたと発表している。

攻撃者は、社員が同僚や顧客から届く会議招待を自然に受け入れやすい点を突く。カレンダー招待は通常のメール添付ファイルとは扱いが異なるため、利用者がファイルを直接開かなくても、不正リンクが予定として登録されるおそれがあるという。

手口も巧妙化している。典型例は、偽の会議招待にフィッシングサイトやマルウェアのダウンロード先へのリンクを埋め込む方法だ。実在する社員名を使うだけでなく、AIで生成した音声や映像を用い、オンライン会議で信頼できる人物になりすますケースも出てきた。

インドのデザイン企業Say Designの共同創業者、アマン・ガイロラ氏は6月、見込み客から送られてきた会議招待に含まれていたGoogle Driveのリンクをクリックし、偽サイトだと気付いた。URLを確認したことで、ファイルのダウンロードは回避できたという。

知人のアカウントを実際に乗っ取って攻撃に使う例も確認されている。登山家ジェン・ドラモンド氏のメールアカウントがハッキングされ、知人に対して裁判所の召喚状を装ったカレンダー招待が送られた。リンク先は、金融情報の入力を求める偽の法的通知だったという。

専門家は、AIエージェントが利用者に代わって招待を承諾する機能についても、新たなセキュリティリスクになり得ると警告している。

セキュリティ企業Oktaは、注意喚起だけでは巧妙なフィッシングを防ぎきれないとして、パスキーの導入を推奨した。パスキーは実際のサービスのドメインにひも付いているため、偽のログインサイトで認証情報を盗まれるリスクを抑えられるとしている。