SPAMové kalendáře

Když si myslíte, že už jste viděli všechno, najde se něco, co Vás překvapí. Přesně to se mi stalo dnes ráno. Koukl jsem do kalendáře a tam bylo hafo podivných událostí :

Říkal jsem si co to je, a když jsem koukl do kalendářů, všiml jsem si jednoho podivného s nic neříkajícím názvem Events.

SPAMující kalendář! To jsem ještě neviděl. 🙂 Trochu jsem pohledal na DuckDuckGo a s podobným problémem se dost lidí už samozřejmě potýkalo. Prvně mě napadlo že něco odklikly děti, když na tabletu hrály hry (proto se doporučuje nesdílet zařízení s více uživateli 🙂 ), ale byly v tom tentokrát nevinně.

‎Pravdou totiž je, že vše, co spammer potřebuje k přidání takovéto schůzky/série schůzek do Vašeho kalendáře, je e-mailová adresa vázaná na váš účet v kalendáři. Je to proto, že aplikace kalendářů od společností Apple, Google i Microsoft jsou ve výchozím nastavení nastaveny tak, aby přijímaly pozvánky do kalendáře od kohokoli.‎ Wau. 🙏

Oproti e-mailům, v kalendáři nejsou žádné SPAMové filtry a spammeři mají otevřený super vektor, jak uživatele poměrně snadno zaspamovat, aniž by se dostali na blacklisty, i když podle dostupných informací se snaží poskytovatelé proti podobným událostem bojovat, například počtem omezení přidání událostí z nějaké IP adresy a podobně. Události jsou totiž šifrované, takže poskytovatelé do jejich obsahu nevidí.

Stačí tedy někde scrapnout dost e-mailových adres a zautomatizovat proces hromadného přidávání událostí do cizích kalendářů. Na GitHubu je k tomu samozřejmě dostupných X nástrojů. Koukám, že jsem objevil Ameriku. 🙂 Ale opravdu, za posledních X let, co se bezpečnosti věnuji, jsem tohle viděl jen jednou a přisuzoval jsem to tenkrát omylu uživatele, který se někde přihlásil k odběru.

Využít kalendář k podstrčení fejkové události, s odkazem na přihlášení k MS Teams on-line schůzce či k jiné platformě… Hmmm, to použiju v některém z chystaných phishingových testů. 🙂

OK, ale co s tím? Apple na to má na webu přímo návod:

 

Nicméně tento kalendář nešlo smazat, takže pomohla až druhá část návodu:

A bylo hotovo. Takže kdyby se někomu stalo něco podobného a měl kalendář náhle plný zpráv jak z Blesku, víte, odkud vítr vane.