偽の会議の招待による攻撃が急増 メールを隔離しても予定が残る

偽の会議の招待を使うフィッシングが、急に増えています。メールのセキュリティの会社のCheck PointとSublime Securityが、それぞれのブログで報告しました。会議の招待は、受信箱と予定表の両方に届きます。そのため、メールを隔離しても、予定表に予定が残り、利用者がそこからリンクを開いてしまうことがあります。

この記事では、2社の報告と、Microsoft 365・Google Workspaceの管理者が見直す設定を、公式の文書のとおりに整理します。内容は2026年10月21日に確かめたものです。

2社が報告した増え方と手口

Check Pointは、9月25日から大きく増えたとしています。新しく加えた検知の仕組みで、30万2,386通の重複しないフィッシングのメールを見つけ、送り先は4万を超える組織でした。量は、4月の月に数千通から、9月に11万8,000通超、10月前半の2週間だけで74万通超に増えました。いちばん多かった10月8日は、1日で約20万通です。

手口は2つあります。1つは.icsの添付です。ファイル自体は正しい予定表のデータで、ソフトの脆弱性ではなく、予定表の機能と利用者の信頼を使う攻撃だとしています。もう1つは、Microsoft Teamsの会議に見せた招待のリンクで、どちらも偽のMicrosoftのログイン画面で認証情報を盗むのが目的です。送り元のドメインは3万3,890を超えていました。

Sublime Securityは9月17日、予定表を使う攻撃が前の月より1,000%を超えて増えたと報告しました。増え方は、8月が7月より1,216%、9月前半だけで8月全体より1,426%でした。多くはGoogleの仕組み(GmailからGoogleカレンダー)を通って送られ、次に多いのはMicrosoftの仕組みだとしています。

Sublimeが示した例では、Gmailのアカウントから、お金の話で誘うGoogleカレンダーの招待が届きました。リンクの先は無料のWeb制作サービスで作ったページで、遠隔操作の道具(ScreenConnect)の入った約10MBのファイルを入れさせます。正規の道具を、攻撃者の操作の窓口に使う手口です。

メールを消しても予定が残る理由

Sublimeは、メールと予定表は別の仕組みで動くため、メールのセキュリティの製品がメールを止めても、予定が予定表に入ることがあると説明しています。利用者は見覚えのない予定を見て、忘れていた会議かもしれないと思い、リンクを開いてしまう恐れがあります。

Microsoftも、Defender for Office 365のブログで同じ問題を挙げていました。招待のメールが届くとき、Outlookは自動で予定を作ります。管理者がメールを受信箱から消しても、予定は残り、利用者は同じ悪いリンクに触れられてしまいます。

Microsoft 365 「Hard delete」なら予定も消える

Microsoftは2025年11月、Defender for Office 365の対処で「Hard delete」を選ぶと、会議の招待のメールに対応する予定も消すように変えました。Microsoft Learnの説明でも、Hard deleteは「消したメールと、会議の招待のメッセージに対応する予定を完全に消す」となっています。

ブログの注意書きでは、消した予定は、招待を送り直すと戻ります。利用者が.icsのファイルから自分で入れた予定は、Hard deleteでも消えません。Hard deleteは、Explorer、高度な追求(Advanced Hunting)、APIのどこから行っても同じ動きになるとしています。

Google Workspace 知らない送信者の招待を自動で入れない

Google Workspaceでは、管理者が、予定表に自動で入れる招待の範囲を決められます。Googleの管理者ヘルプの手順は次のとおりです。

1. Googleの管理コンソールで、[アプリ]>[Google Workspace]>[カレンダー]を開く(カレンダーの管理者の権限が要る)
2. [詳細設定]を開く
3. 組織で使える、いちばん緩い範囲を選ぶ(すべてのユーザーからの招待状/既知の送信者からの招待状/ユーザーが返信した招待状)
4. 自動で入れる範囲の初期値を決めて、保存する

「既知の送信者」は、同じドメインの人、連絡先にいる人、過去にやり取りのある人です。知らない送信者の招待は、メールでだけ届き、予定表には入りません。2022年のGoogleの案内では、初期の設定は「すべての人からの招待」です。設定を変えても、すでに予定表に入っている予定には影響しないとしています。

影響する会社・しない会社

• 影響する: Microsoft 365やGoogle Workspaceで、メールと予定表を使っている会社です。偽の招待は、どちらの仕組みでも届いています。
• 影響する: メールのセキュリティの製品で隔離した後、予定表を確かめていない会社です。隔離したはずの招待の予定が残っている恐れがあります。
• 影響しない: 予定表の機能を使っていない会社は、予定が残る問題の対象ではありません。ただし、.icsの添付やリンクによるフィッシングのメールそのものは届きます。

情シスが今日やること

1. Microsoft 365でDefender for Office 365を使っている場合は、フィッシングのメールを対処するとき、招待のメールには「Hard delete」を選ぶ手順にします。Soft deleteや迷惑メールへの移動だけで終わらせないようにします。
2. Google Workspaceを使っている場合は、管理コンソールの[カレンダー]>[詳細設定]で、自動で予定表に入れる招待の範囲を確かめます。「すべてのユーザーからの招待状」のままなら、「既知の送信者からの招待状」に変えるかを検討します。
3. 使っているメールのセキュリティの製品が、予定表の予定も対処できるかを、販売元に確かめます。
4. 社員に、知らない差出人の会議の招待や、ログインやファイルの入手、急ぎの支払いを求める予定は、メールとは別の手段で相手に確かめるよう伝えます。
5. 遠隔操作の道具(ScreenConnectなど)が、会社が認めていない端末に入っていないかを、資産管理の道具で確かめます。