Googleカレンダーに知らない予定が――招待通知を悪用する新手口

　ユーザーに無断でGoogleやMicrosoft Outlookのカレンダーに会議通知を送りつけ、知らない間に予定を自動登録させる手口のスパムが数週間前から出回っているとして、セキュリティ各社が注意を促している。

　米McAfeeによれば、問題のスパムはGmailアカウントから送信されているが、GoogleとOutlookのカレンダー機能は互換性があるため両方のカレンダーに会議通知が届き、ユーザーはスパマーが指定した日時にリマインダを受け取るまで気付かないケースも多い。

　セキュリティ企業Websenseのブログでは、実際にGMailとGoogle Calendar、Outlookを使ってこの手口を検証した結果を紹介している。

　まずGmailのアカウントで会議予定を作成。会議は毎日行われるように設定し、フィッシング詐欺のリンクを掲載。標的とする別のGmailアカウントとOutlookアカウントを会議の参加者として登録し、招待通知を送信する。

　次に標的としたGmailアカウントにログインし、Googleカレンダーを参照すると、既に会議の予定が毎日入っている。この予定を参照すると、電子メールやショートメッセージなどあらゆる手段を使って1日前にリマインダが送信される設定になっており、フィッシング詐欺リンクも記載されている。

　Outlookアカウントでは、受信箱に招待通知が表示されたがカレンダーには自動登録されていない。しかし招待を受け入れるかどうかも決めていないのに、カレンダーでは毎日の指定時刻に予定が入っているものとしてその時間がブロックされ、リマインダが送信される状態になっていたという。

　McAfeeによると、カレンダーのオプションで会議のリクエストを自動的に受け入れる機能をオフにすれば、このスパムを防ぐことができる。今のところ、この手口は偽の儲け話で現金をだまし取ろうとするナイジェリア詐欺に使われているが、Gmailのキャプチャが破られたことなどを考えると、ボットネットのスパマーが目を付けてもおかしくないと警鐘を鳴らしている。