Podvodníci zneužívajú Gmail aj Google Kalendár. Jedna falošná pozvánka ťa môže pripraviť o celý účet

V Google Kalendári sa ti môže objaviť udalosť, ktorú si nikdy nevytvoril ani nepotvrdil. Podvodníci cez kalendárové pozvánky posielajú falošné upozornenia na platby, hlasové správy, pracovné stretnutia či obnovenie predplatného. Do popisu pridajú odkaz alebo telefónne číslo, cez ktoré ťa chcú dostať k ďalšiemu kroku podvodu.

Takýchto útokov podľa bezpečnostnej spoločnosti Sublime Security prudko pribúda. V auguste ich vo svojej telemetrii zaznamenala o 1 216 % viac než v júli. Počas prvej polovice septembra ich bolo dokonca o 1 426 % viac než za celý august. Na rast calendar phishingu 11. októbra upozornil aj britský The Guardian.

Pozvánka pritom nemusí zostať iba v e-maili. Podľa nastavenia účtu ju môže Google Kalendár automaticky pridať medzi ostatné udalosti ešte predtým, než správu otvoríš.

Google Kalendár môže cudziu pozvánku pridať medzi udalosti automaticky

Útočník sa pritom do tvojho Google účtu vôbec nemusí dostať. Na tvoju e-mailovú adresu odošle kalendárovú pozvánku a pri zapnutom automatickom pridávaní ju Google Kalendár zapíše medzi ostatné udalosti ešte skôr, než otvoríš samotný e-mail.

V kalendári potom nevidíš klasickú podvodnú správu, ale názov udalosti vedľa pracovných porád, návštev lekára či súkromných plánov. Práve to jej môže dodať dôveryhodnosť. Namiesto otázky, kto ti poslal podozrivý e-mail, skôr rozmýšľaš, či si na niečo nezabudol alebo či upozornenie nevytvorila služba, ktorú používaš.

Súvisí s tým

Nový online podvod cieli na AI nadšencov. Falošné reklamy kradnú heslá aj overovacie kódy

„Platba 298,99 dolára“ má obete prinútiť zavolať na falošnú podporu

V jednej pozvánke sa môže objaviť údajná platba cez PayPal, v ďalšej upozornenie na novú hlasovú správu alebo obnovenie predplatného. Výskumníci zachytili aj falošné pracovné stretnutia či oznámenia o automatickom strhnutí peňazí.

Časť kampaní využíva aj známe služby, napríklad Zoom či Teams. Pozvánka tak môže na prvý pohľad vyzerať ako bežné stretnutie od kolegu alebo firmy, s ktorou človek komunikuje.

Pri údajnej platbe býva v texte telefónne číslo s výzvou, aby si okamžite kontaktoval zákaznícku podporu, ak transakciu nespoznávaš. Hlasová správa zase prichádza s odkazom, cez ktorý si ju máš vypočuť. V oboch prípadoch sa ťa podvodníci snažia dostať z Kalendára na vlastnú stránku alebo telefónnu linku.

Pozvánka je pritom len návnada. Útok pokračuje po otvorení odkazu, zavolaní na uvedené číslo, zadaní prihlasovacích údajov alebo spustení škodlivého súboru.

Útočník sa vloží medzi teba a Google a zachytí aj druhý krok prihlásenia

Material Security od polovice augusta 2026 sleduje kampaň, pri ktorej kalendárová pozvánka nevedie iba na obyčajnú kópiu prihlasovacej stránky. Útočníci sa snažia dostať až k prihlasovacej relácii Google účtu.

Pomáhajú si pritom aj oficiálnymi odkazmi a infraštruktúrou Googlu. Za odkazom však čaká ich vlastný server, cez ktorý prechádza prihlasovanie. Používateľ zadá heslo, Google mu odošle skutočnú výzvu na overenie a útočník celý proces priebežne sprostredkúva.

Material Security pri tejto kampani zaznamenal SMS kódy, autentifikačné aplikácie aj výzvy Tap-Yes a number matching. Keď obeť prihlásenie dokončí, útočník môže prevziať výslednú reláciu a dostať sa do účtu bez ďalšieho zadávania hesla či overovacieho kódu. Práve týmto spôsobom dokáže AiTM phishing obísť viacero bežných foriem dvojfaktorového overenia.

O niečo horšie sa takýto útok robí proti účtom chráneným cez passkeys alebo hardvérový bezpečnostný kľúč. Overenie sa viaže na konkrétnu webovú adresu, takže údaje zachytené na podvodnej doméne útočník nevie použiť rovnakým spôsobom ako heslo či jednorazový kód.

Rozsah kampane naznačuje aj infraštruktúra, ktorú za sebou zanechala. Material Security v rámci Operation Cloudfire pomohol odstaviť viac ako 500 domén spojených s týmito útokmi.

Google umožňuje vypnúť automatické pridávanie cudzích pozvánok

Automatické zapisovanie cudzích pozvánok sa dá v Google Kalendári vypnúť. Na počítači túto voľbu nájdeš v Nastaveniach udalostí pod položkou Pridávať pozvánky do môjho kalendára.

Google tu ponúka aj možnosť, pri ktorej sa udalosť do kalendára nezapíše hneď. Zobrazí sa až po tom, čo na pozvánku odpovieš cez e-mail. Medzi tým je ešte režim pre známych odosielateľov, teda ľudí z kontaktov, kolegov z organizácie alebo osoby, s ktorými si už komunikoval.

Práve posledná skupina však nie je automaticky bezpečná. Material Security pri aktuálnej kampani narazil aj na pozvánky z organizácií, ktoré už príjemca poznal. Ak chceš obmedziť podobný spam čo najviac, väčší zmysel dáva režim, ktorý počká na tvoju odpoveď cez e-mail.

Nastavenie sa týka nových pozvánok. Tie, ktoré už máš v kalendári, tým nezmiznú. Rovnakú voľbu nájdeš aj v aplikácii Google Kalendár pre Android.

Podvodníci chcú dostať obeť z Kalendára na vlastnú stránku alebo telefón

Pri neznámej udalosti nemá zmysel riešiť platbu alebo problém cez odkaz, ktorý je priamo v pozvánke. Ak text tvrdí, že ti PayPal, banka alebo iná služba strhne peniaze, otvor si účet samostatne cez aplikáciu alebo stránku, ktorú bežne používaš. Tam hneď uvidíš, či sa vôbec niečo stalo.

Pozvánku z Google Kalendára môžeš označiť ako spam. Pri opakovanej udalosti sa odstráni aj celá séria. Pri pozvánkach vytvorených cez inú kalendárovú službu táto možnosť nemusí byť dostupná.

Od augusta pribudlo v Kalendári aj blokovanie organizátora na počítači. Funguje pri Google účtoch a po zablokovaní sa ďalšie pozvánky od rovnakého odosielateľa prestanú zobrazovať. E-mailovú adresu mimo Googlu treba zablokovať cez Gmail.

Ak si už na podvodnej stránke zadal heslo, rieš už samotný účet. Zmeň heslo v nastaveniach Googlu a pozri si zariadenia, na ktorých je účet prihlásený, obnovovacie údaje a aplikácie s prístupom k nemu. Tieto nastavenia Gmailu a Google účtu ti pomôžu preveriť, či sa po prihlásení niečo nezmenilo.