Golpistas usam convites de calendário (ICS) para burlar filtros antiphishing
Pesquisadores da Netcraft identificaram uma técnica em que atacantes enviam convites de calendário ICS maliciosos que se instalam diretamente na agenda da vítima, contornando filtros de segurança de e-mail. A técnica já está incorporada ao kit de phishing EvilTokens, voltado ao roubo de credenciais de contas Microsoft 365, e persiste no calendário mesmo após o e-mail original ser apagado.
A Netcraft descreveu uma campanha em que golpistas abusam de arquivos de convite de calendário no formato ICS para entregar phishing de forma que escapa dos filtros tradicionais de e-mail. Diferente de um link ou anexo comum, o convite de calendário é processado por um fluxo separado em muitos gateways de segurança, que tendem a aplicar menos escrutínio a esse tipo de conteúdo por considerá-lo rotineiro em ambientes corporativos.
Por dentro, o ataque funciona assim: a vítima recebe um e-mail com um convite ICS disfarçado de reunião, lembrete ou notificação de RH/TI. Ao ser processado pelo cliente de e-mail, o evento é automaticamente inserido no calendário da vítima, com um link de "confirmar presença" ou "ver detalhes" que leva a uma página clonada de login da Microsoft 365. O ponto crítico é a persistência: mesmo que a vítima perceba o e-mail como suspeito e o exclua, o evento permanece na agenda, dando ao atacante uma segunda, terceira ou quarta chance de induzir o clique nos dias seguintes — sem precisar reenviar nada.
Essa técnica já foi incorporada ao EvilTokens, um kit de phishing-as-a-service direcionado especificamente ao roubo de credenciais Microsoft 365, o que indica que a barreira técnica para explorá-la caiu: qualquer ator, mesmo pouco sofisticado, pode comprar acesso ao kit e lançar campanhas usando esse vetor. Como o objetivo final é o roubo de credenciais corporativas, o risco direto é abertura de porta para fraude financeira (transferências fraudulentas, BEC) e exfiltração de dados usados em fraude de identidade.
Para reconhecer o golpe, o sinal de alerta mais confiável é a origem do convite: eventos de organizadores desconhecidos ou que não fazem sentido no contexto de trabalho da vítima merecem desconfiança, assim como qualquer solicitação de login feita a partir de um link dentro de um evento de calendário — a Microsoft nunca pede reautenticação dessa forma.
Na prática, equipes de segurança devem passar a escanear anexos ICS com o mesmo rigor aplicado a e-mails e links comuns, e considerar bloquear ou sandboxing de links embutidos em convites. Como a credencial roubada é o alvo final, exigir MFA resistente a phishing (FIDO2/passkeys) neutraliza boa parte do dano mesmo se a senha for capturada. Por fim, convites maliciosos identificados devem ser removidos manualmente do calendário organizacional, já que simplesmente apagar o e-mail de origem não elimina a ameaça.