Kalenterikutsuilla huijataan Microsoft-tunnuksia – kampanja tavoittanut yli 40 000 organisaatiota
Hyökkääjät piilottavat kalastelun kalenterikutsuihin ja Teams-ilmoituksiin, koska niitä ei lueta samalla varovaisuudella kuin sähköpostia.
Tiivistelmä
Check Point kertoo havainneensa laajan kalastelukampanjan, joka väärinkäyttää kalenterikutsuja ja Microsoft Teams -kokousilmoituksia Microsoft-tunnusten varastamiseksi. Viestimäärä on kasvanut huhtikuun muutamasta tuhannesta lähes 740 000:een lokakuun kahden ensimmäisen viikon aikana, ja levitys on hajautettu kymmeniin tuhansiin lähettäjädomaineihin torjunnan kiertämiseksi. Yksikään suomalainen viranomainen ei ole toistaiseksi varoittanut kampanjasta.
Kalenterikutsu näyttää tavalliselta kokouspyynnöltä, eikä sähköpostisuodatin tunnista sitä uhkaksi.
Check Point kertoo havainneensa laajan kalastelukampanjan, joka käyttää hyväkseen juuri tätä sokeaa pistettä. Tietoturvayhtiö on tunnistanut yli 302 000 yksittäistä kalasteluviestiä, jotka on lähetetty yli 40 000 organisaatiolle ympäri maailmaa.
Kampanja ei nojaa haitalliseen linkkiin tavallisessa sähköpostissa.
Sen sijaan se hyödyntää kahta eri muotoa, joihin työntekijät eivät ole tottuneet suhtautumaan epäilyksellä.
Kaksi tapaa huijata
Ensimmäisessä muodossa sähköpostiin on liitetty tekninen .ics-kalenteritiedosto. Tiedosto on muodollisesti pätevä kalenteridata, ei haittaohjelma, ja juuri se tekee siitä vaikean tunnistaa.
Toisessa muodossa viesti on naamioitu Microsoft Teams -kokouskutsuksi. "Liity kokoukseen" -painike ei vie oikeaan Teams-palveluun, vaan tunnuksia keräävälle sivulle, joka jäljittelee Microsoftin kirjautumisnäkymää.
Check Point ei nimeä kampanjan takana olevaa tekijää.
Kalenterikutsujen kalastelu
Kalenterikutsu tai Teams-ilmoitus ei ole sähköpostin liitetiedosto vaan muodollisesti pätevää kalenteridataa, joten mailsuodatin ei tunnista siinä haittaohjelmaa tunnistettavaa. Lukija ei myöskään varo kokouspyyntöä samalla tavalla kuin tavallista sähköpostia, vaikka linkki johtaa tunnuksia keräävälle sivulle.
Kasvu on kiihtynyt kuukausi kuukaudelta
Huhtikuussa 2026 kampanja lähetti vielä muutaman tuhannen viestin kuukaudessa. Syyskuussa määrä oli noussut yli 118 000:een, ja lokakuun kahden ensimmäisen viikon aikana viestejä kirjattiin yli 740 000.
Vilkkaimpana päivänä 8. lokakuuta liikkeellä oli lähes 200 000 viestiä.
Hyökkääjät ovat käyttäneet yli 33 800 eri lähettäjädomainia ja yli 247 000 yksilöllistä lähettäjäosoitetta. Hajautus on tarkoituksellista, ja se tehdään nimenomaan lähettäjäpohjaisten estolistojen kiertämiseksi.
Check Point raportoi myös erillisen, samaa logiikkaa käyttävän kampanjan, joka väärinkäyttää puheposti-ilmoituksia ja on kohdistunut yli 7 800 organisaatioon. Molemmissa tapauksissa kalastelu kätkeytyy automaattiseen ilmoitusmuotoon, jota käyttäjä ei tavallisesti epäile.
Muutkin kansainväliset tietoturvajulkaisut ovat toistaneet samat luvut lokakuun loppupuolella, eikä niiden välillä ole ristiriitaa.
Suomi ei ole vielä varoittanut
Yksikään suomalainen viranomainen ei ole tähän mennessä kommentoinut kampanjaa, eikä sitä ole käsitelty muualla kotimaisessa mediassa kuin Mobiili.fi:ssä.
Microsoft 365 -tunnuksiin kohdistunut kalastelu on ollut lokakuussa muutenkin esillä OAuth-valtuutuksen ja laitekoodikirjautumisen väärinkäytön kautta. Kalenterikutsujen ja Teams-ilmoitusten hyväksikäyttö on näistä erillinen, aiemmin raportoimaton reitti uhriin.
Tunnistusmerkit
Kokouskutsu tai -ilmoitus on syytä epäillä, jos se on odottamaton, lähettäjä on tuntematon tai lähettäjän näkyvä nimi ei vastaa varsinaista sähköpostidomainia, ja samaa varovaisuutta kannattaa noudattaa puheposti-ilmoitusten ja poissaoloviestien kohdalla, kun niitäkään ei ole odotettu.
Mitä tehdä
Tarkista aina lähettäjän todellinen sähköpostidomain, ei vain näyttönimeä, ennen kuin luotat kokouskutsuun. Vie kursori "Liity kokoukseen" -linkin päälle ja varmista, että se johtaa oikeaan teams.microsoft.com- tai login.microsoftonline.com-osoitteeseen, ei muistuttavaan väärennettyyn domainiin.
Microsoft-tunnuksia ei pidä syöttää sivulle, jolle on päädytty pyytämättä tulleen kalenterikutsun kautta. Kaksivaiheinen tunnistautuminen kannattaa pitää päällä, jotta varastettu salasana ei yksin riitä tilin kaappaamiseen.
Epäillystä kalasteluviestistä kannattaa ilmoittaa Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi.
Lähteet
- Check Point Software Technologies (15.10.2026)
- Mobiili.fi (21.10.2026)