Hamis naptármeghívók – Microsoft-fiókok adathalászata

Jelleg: Nagyléptékű adathalász-kampány (hitelesítőadat-lopás)

‍Célpont: Szervezetek széles köre – 40 000+ érintett

‍Ellopott adat: Microsoft fiók felhasználónév és jelszó

‍Időszak: Felfutás 2026 áprilisától; csúcs 2026. szeptember 25.; 2026. október 15-én még aktív

‍Feltárta: Check Point Email kutatói (riport: Hackread – Waqas)

Mi történt

A Check Point észlelőrendszere 2026. szeptember 25-én kiugró adathalász-kampányt jelzett, amelyben több mint 40 000 szervezet kapott hamis naptármeghívót a Microsoft-fiókja hitelesítő adatainak ellopása céljából. A kampány 302 386 egyedi adathalász-levelet küldött 247 270 feladócímről, 33 890 domainről – tehát nem néhány eldobható fiókról.

A támadás menete:

1. Csali: a levél hétköznapi munkahelyi meghívónak tűnik, gyakran Microsoft Teams-meghívásnak.
2. Kézbesítési változatok: egyes levelek valódi .ics naptárcsatolmányt tartalmaznak (érvényes naptáradattal, így megnyitható / naptárba vehető); másoknál a linkszöveg Microsoft/Teams-címet mutat, miközben a tényleges URL máshová mutat (a link fölé húzva látszik a valódi cél).
3. Adatlopás: a meghívó linkje egy hamis Microsoft bejelentkező oldalra vezet, amely rögzíti a beírt felhasználónevet és jelszót.
4. Bizalommal való visszaélés: a feltört fiókokból a támadó még meggyőzőbb meghívókat küldhet egy már megbízható címről.

A cikk hangsúlyozza: a támadók nem a Microsoft Teams, az Outlook vagy a .ics formátum hibáját használják ki, hanem a normál naptárfunkciókat. Elkövetői csoportot a forrás nem nevez meg.

Milyen kár keletkezett

• Ellopott adat: Microsoft fiók felhasználónév + jelszó.
• A kampány mérete: 302 386 egyedi levél; napi átlag 8 319 levél; a havi volumen áprilisi néhány ezerről szeptemberre 118 000+-ra nőtt; október első két hetében 740 000+ üzenet, ebből okt. 8-án közel 200 000. (A 740 000 aktivitási darabszám, nem azonos a 302 386 egyedi levéllel.)
• Lehetséges hatás: a jogosultságoktól és a hitelesítési kontrolloktól függően az ellopott adatokkal e-mail, OneDrive, SharePoint és más céges szolgáltatás is elérhetővé válhat.
• Megerősített, megnevezett áldozatot a forrás nem közöl.

Milyen biztonsági hiányosságok vezettek az esethez

A kampány nem szoftversérülékenységet, hanem a normál munkahelyi szokásokba vetett bizalmat használja ki:

• Megszokás: a dolgozók rutinszerűen elfogadnak külső felektől érkező meghívókat, így a hamis is normálisnak tűnik.
• Legitim funkciók: a naptárkliens a levélen kívül, külön is megjeleníti az esemény részleteit – ez egy újabb csatorna a csalinak.
• Márkaismeret: a Microsoft-arculat és a valósághű meghívó-részletek hitelessé teszik a hamis bejelentkező oldalt.
• Érvényes fájlformátum: a .ics szerkezetileg szabályos, nem hibás, így nem akad fenn egyszerű tartalomszűrőn.
• Csak jelszavas védelem: ahol a hozzáférést csak a jelszó védi (gyenge vagy hiányzó MFA), ott a lopott jelszó elég a belépéshez. (a cikk implikációja)

Mi a tanulság, mit kellett volna tenni

Megelőzés:

• Váratlan meghívónál ellenőrizni kell a feladót és a link valódi célját (link fölé húzás), mielőtt belépnénk – a Microsoft-kinézet önmagában nem bizonyíték.
• Adathalászat-ellenálló hitelesítés bevezetése: passkey vagy hardveres biztonsági kulcs – ez akkor is korlátozza a kárt, ha a jelszó kiszivárog.
• Monitorozás: .ics csatolmányok, újonnan regisztrált feladó-domainek, és olyan linkek figyelése, amelyek nem egyeznek a meghívóban megnevezett szolgáltatással.

Incidenskezelés (aki megadta az adatait):

• Azonnali jelszócsere és az aktív munkamenetek visszavonása.
• A fiók átvizsgálása: ismeretlen bejelentkezések, továbbító (forwarding) szabályok, regisztrált eszközök és hitelesítési módszerek ellenőrzése.

Egy mondatos tanulság: Nem szoftverhiba, hanem a megszokás – egy „ártalmatlan" meghívó és egy élethű bejelentkező oldal elég a jelszóhoz; az adathalászat-ellenálló MFA (passkey) a legjobb védelem.

Megjegyzések a forrásokhoz

• A kampány nem használ ki szoftversérülékenységet (ezt a cikk kimondja), és nem ír le MFA-megkerülést, token-/munkamenet-lopást, OAuth-visszaélést vagy adversary-in-the-middle technikát – a dokumentált módszer egy hamis bejelentkező oldal, amely a begépelt jelszót rögzíti.
• Konkrét hamisított domaineket, céloldal-URL-eket és elkövetői csoportot a forrás nem közöl.
• A 3. szakasz „csak jelszavas védelem" pontja és a passkey-ajánlás a cikk implikációja, illetve bevett jó gyakorlat – ezt (a cikk implikációja) jelöléssel láttam el.
• Minden szám (40 000+ szervezet, 302 386 / 247 270 / 33 890, 8 319/nap, 118 000, 740 000+, 200 000, dátumok) a Hackread (Check Point) cikkéből származik.

‍