Falska kalenderinbjudningar stjäl Microsoft-uppgifter från 40 000 organisationer
Säkerhetsforskare på Check Point har upptäckt en massiv phishingkampanj där falska kalenderinbjudningar används för att stjäla Microsoft-inloggningsuppgifter. Över 40 000 organisationer har drabbats sedan kampanjen tog fart i slutet av september 2026.
Hur attacken fungerar
Angriparna skickar falska mötesbokar som ser ut att komma från Microsoft Teams eller andra kalenderverktyg. Mailet innehåller antingen en .ics-fil (ett vanligt kalenderformat) eller en länk som ser ut att leda till en inloggningssida. Klickar mottagaren vidare hamnar de på en sida som stjäl deras Microsoft-uppgifter.
Taktiken är effektiv just för att kalenderinbjudningar sällan väcker misstanke. Medarbetare är vana vid att acceptera möten utan att ifrågasätta avsändaren.
Siffrorna talar för sig
Check Point har identifierat 302 386 unika phishingmail i sina kunders miljöer. Kampanjen skickades från över 33 890 olika avsändardomäner och 247 270 unika e-postadresser, vilket gör det svårt för traditionella filter att blockera dem.
Volymen accelererar: i september skickades dagligen tusentals mail, och under de första två veckorna av oktober hade totalt 740 000 mail skickats. Den värsta enstaka dagen, den 8 oktober, registrerades nästan 200 000 mail.
Vad svenska företag bör göra
Attacken kräver inga tekniska sårbarheter i Microsofts plattformar. Det räcker att en anställd klickar på en länk. Dessa tre åtgärder minskar risken:
- Utbilda personalen att granska kalenderinbjudningar från okända avsändare, särskilt om de innehåller en inloggningslänk.
- Aktivera multifaktorautentisering (MFA) på alla Microsoft 365-konton. Stulna lösenord räcker då inte för att ta sig in.
- Konfigurera e-postfiltrering för att flagga .ics-bilagor från externa avsändare som inte finns i adressboken.
Kampanjen är fortfarande aktiv. Check Point rapporterade senast aktivitet så sent som den 15 oktober 2026.