安全提醒 | 日历邀请钓鱼攻击正在蔓延
NEWS
据权威安全研究机构监测，2025 年 5 月至 9 月，ICS 钓鱼攻击事件同比累计增长近33000%。5 至 6 月攻击规模每月翻番至三倍，7 月后月增幅超 1000%，指数扩张特征显著。
在企业持续加码邮件侧安全防御、传统钓鱼攻击生存空间不断被压缩的背景下，黑产开始跳出邮件这一经典投递渠道，挖掘办公协作体系里防护盲区。日历邀请作为日常办公中极易被忽视的交互载体，依托日程协议特性悄然成为攻击者新的进攻入口，是近年快速兴起的钓鱼类型。
不同于普通钓鱼邮件，这类攻击利用办公用户对邮箱日程天然的信任感，形成一套全新的欺骗链路，正在成为企业安全防护不可忽视的新型威胁。
本文将详细拆解这场精心策划的日历邀请暗藏的攻击。
什么是日历邀请钓鱼？
日历邀请钓鱼（Calender Invite Phishing）又称ics钓鱼，顾名思义就是攻击者发送包含 .ics 文件的钓鱼邮件，而.ics 文件作为日历邀请的标准格式，许多主流电子邮件系统（Outlook、Gmail）会自动将这些文件识别为事件，并在邮件到达用户收件箱后立即将其添加到用户的日历中。
日历邀请钓鱼是怎么进行攻击的？
当员工收到邀请邮件时，本能认为这是一次正常工作流程，并不会多想。而攻击者瞄准的正是这种心理信任差。
ICS 是标准 iCalendar 日历交换文件，本质是纯文本，本身不含可执行代码。
至此，日历邀请钓鱼已然成功完成攻击。
那么，如果目标员工知道这是虚假邮件，点击了“拒绝”是不是就万事大吉了？
可惜，并不是。很多人以为识别出虚假邀约，点拒绝就安全了，事实并非如此。点击拒绝会向攻击者发送回复通知，攻击者可据此确认该邮箱账号活跃，将账号标记为高价值目标，发起后续更精准的定向攻击。
日历邀请钓鱼为何能在短时间爆发？
日历钓鱼的欺骗短短数月实现数万倍规模增长，也远超普通新型攻击的自然扩散节奏，这并不是靠单一技术优势就能达成的，而是协议特性、产品设计、黑产产业链多重因素叠加后的结果。
ICS 协议设计：天生易伪造
iCalendar 标准协议优先追求跨平台互通，无内置强身份校验。组织者名称、事件描述都可以任意填写，文件格式合法，传统安全引擎很难单凭文件本身识别恶意意图。
产品默认设置：体验优先留下安全缺口
为减少手动添加日程的操作成本，主流云日历默认自动解析邮件内 ICS 并生成事件。这个功能和邮件安全网关缺少联动机制：邮件被判定恶意之后，不会同步删除已经创建的日历事件，形成独立于邮件之外的旁路攻击通道。
黑产 PhaaS 工具化，攻击成本极低
ICS 文件制作简单，开源工具即可批量生成，复用原有邮件群发基础设施。黑产已经封装成一键钓鱼模板，不需要懂协议细节的普通攻击者，只需要导入邮箱列表就能发起批量攻击，边际成本极低，支撑攻击规模指数扩张。
企业防护盲区：安全建设只盯着邮件
安全运营很少采集日历事件创建日志，员工安全培训几乎没有覆盖日历钓鱼场景，认知空白给攻击者留下巨大空间。
企业该如何应对此类攻击？
第一层：日历服务端治理，收敛攻击面
-
管理员精细化配置策略：关闭外部发件人 ICS 自动添加，仅可信来源可自动创建日程；
-
优化交互提示，弱化 “接受 / 拒绝” 按钮，优先推荐删除并举报，避免泄露账号存活状态。
第二层：邮箱+日历协同防护
-
开启日历行为审计，监控批量创建日程、同发件人批量推送会议邀请等异常行为，运营批量清理恶意事件。
第三层：终端与身份安全兜底
-
日历跳转的外部链接统一进行网页风险识别，拦截仿冒登录页面；
-
MFA 并非万能，叠加条件访问策略：陌生 IP / 设备登录，即便密码 + 验证码正确，仍触发额外风险核验；
-
落实账号最小权限原则，限制账号攻陷后的横向移动范围。
第四层：补齐员工安全认知短板
-
将日历钓鱼纳入常态化反钓鱼培训，明确：日历会议邀请不等于可信业务；
-
固化可疑日历邀请标准处置流程，纠正 “点拒绝” 的错误操作；
-
在企业钓鱼演练中增加 ICS 日历模拟攻击场景，检验员工识别处置能力。
写在最后
日历邀请钓鱼并非孤立威胁，而是攻击向量从邮件向协作工具迁移的标志性事件。随着邮件防护持续完善，攻击者会持续寻找邮件体系之外、具备高用户信任的载体：IM 群组邀请、云文档共享通知、任务系统待办提醒，都可能成为下一代钓鱼投递通道。
网络钓鱼对抗是长期博弈，不存在一招制敌的方案。邮件网关的深度威胁检测、云服务权限管控、身份防护、全员安全意识，多维度协同，才能持续降低新型钓鱼威胁带来的账号泄露与业务欺诈风险。在此我们建议，若发现可疑日历邀请及时上报安全团队。
