Pesquisadores da Check Point Email identificaram várias campanhas de phishing em grande escala que abusam de falsos convites de calendário para roubar credenciais de contas Microsoft, e os números pioram semana após semana. Uma camada de detecção construída especificamente para esse tipo de ataque marcou mais de 302.386 e-mails de phishing únicos enviados a mais de 40.000 organizações, com uma média de mais de 8.319 e-mails por dia ativo. Os e-mails vieram de mais de 33.890 domínios de envio diferentes e mais de 247.270 endereços únicos.
Como o ataque funciona
A campanha tem duas variantes principais. Na primeira, o e-mail chega com um anexo .ics. O arquivo são dados de calendário válidos, então o ataque abusa dos recursos de calendário e da confiança do usuário sem explorar nenhuma vulnerabilidade de software. Na segunda, um falso convite de reunião do Microsoft Teams carrega um link Join que na verdade aponta para uma página de roubo de credenciais disfarçada de login da Microsoft. As duas variantes são projetadas para capturar o usuário e a senha da vítima. Como a isca viaja dentro de um formato que os funcionários veem todos os dias, os destinatários raramente a tratam com suspeita, e um evento malicioso pode até se plantar diretamente na agenda do usuário.
O volume está acelerando
A Check Point diz que a atividade explodiu a partir de 25 de setembro de 2026 e não está diminuindo. O volume diário cresceu de alguns milhares de e-mails por mês em abril para mais de 118.000 em setembro, e para mais de 740.000 apenas nas duas primeiras semanas de outubro. O dia mais movimentado até agora foi 8 de outubro, com quase 200.000 e-mails, e a campanha ainda estava ativa tão recentemente quanto 15 de outubro de 2026. Aqui não há patch para instalar, porque nada estava quebrado. O ataque transforma em arma um fluxo de trabalho cotidiano e milhares de domínios de envio descartáveis.
O que isso significa para o seu domínio
Uma campanha espalhada por dezenas de milhares de domínios de envio depende muito da impersonificação. Alguns desses domínios imitam as marcas e os formatos em que as pessoas já confiam, que é exatamente a lacuna de confiança que a autenticação de e-mail fecha. SPF, DKIM e DMARC provam que uma mensagem vem realmente do domínio que ela afirma, e uma política DMARC em quarantine ou reject impede que o e-mail falsificado use o seu nome antes de chegar a uma caixa de entrada. Se o seu domínio ainda está em p=none, os atacantes podem colocar a sua marca nos convites de calendário deles e os seus clientes não terão nenhum sinal técnico para perceber a diferença. Isso é dano de reputação e dano de entregabilidade ao mesmo tempo.
A mesma lógica vale para o seu próprio e-mail automatizado. Confirmações de reuniões, e-mails de notificação e mensagens transacionais recebem cliques rápidos porque parecem rotineiros, o que torna o seu domínio de envio uma das coisas mais valiosas que você possui. Protegê-lo com DMARC em nível de aplicação é a diferença entre uma rotina confiável e uma superfície de ataque escancarada.
Falsos convites de calendário funcionam porque ninguém questiona um pedido de reunião. Garanta que ninguém possa enviar um em seu nome. O Excello Mail mapeia cada fonte legítima de envio e leva os seus domínios até p=reject sem quebrar o e-mail real. Cadastre-se gratuitamente no Excello Mail e mantenha a sua marca fora da lista de convites dos atacantes.