Phishing associëren we nog altijd vooral met verdachte mails en nep-sms’en. Maar aanvallers zoeken steeds vaker kanalen op waar gebruikers minder op hun hoede zijn. Een onbekende afspraak in een online agenda voelt administratief en onschuldig, en precies daarin schuilt het risico. Agenda-phishing is geen randverschijnsel meer. Het legt een structurele zwakte bloot in de manier waarop digitale werkplekken vandaag zijn ingericht.

Aanvallers maken gebruik van het feit dat agenda-uitnodigingen deel uitmaken van de dagelijkse routine. Medewerkers denken nauwelijks na voor ze op een uitnodiging klikken, omdat het gewoon als werk aanvoelt. Dat is fundamenteel anders dan een e-mail van een onbekende afzender, waarbij de drempel om te klikken hoger ligt.

Eind 2024 documenteerde Check Point een campagne waarbij aanvallers in vier weken tijd meer dan 4.000 phishingmails verstuurden naar ongeveer 300 organisaties. Die berichten deden zich voor als Google Calendar-uitnodigingen van bekende contacten. Dat werkte omdat de mails voor beveiligingssystemen leken te komen van een betrouwbare afzender. De technische controles die normaal nagaan of een e-mail echt van het vermelde domein komt, sloegen geen alarm. Daardoor zagen de berichten er geloofwaardig uit voor de ontvanger en geraakten ze ook langs klassieke spamfilters.

Google Calendar voegt uitnodigingen standaard automatisch toe aan de agenda, ook als ze afkomstig zijn van onbekende afzenders. Daardoor verschijnt een phishing-link rechtstreeks in de agenda van de gebruiker, zonder dat die ooit bewust heeft geaccepteerd.

Outlook verwerkt .ics-bestanden parallel aan het e-mailscanproces. Dat betekent dat een kwaadaardig agenda-item al in de kalender staat voordat beveiligingstools het bijbehorende bestand hebben gescand. Zelfs als de gebruiker de e-mail daarna verwijdert, blijft het agenda-item bestaan.

Dat zijn geen fouten in het systeem. Het zijn ontwerpkeuzes waarbij gebruiksgemak zwaarder weegt dan controle. Een eenvoudige aanpassing kan het risico al verkleinen. In Google Calendar kun je bijvoorbeeld instellen dat uitnodigingen alleen worden toegevoegd als de afzender bekend is. In Outlook kun je de automatische verwerking van externe .ics-bestanden beperken. Die opties bestaan, maar staan zelden standaard aan.

Organisaties beveiligen e-mail, chat, agenda en het delen van documenten meestal als aparte onderdelen. Medewerkers gebruiken die kanalen door elkaar, vaak binnen hetzelfde proces. Traditionele e-mailbeveiliging scant berichten en bijlagen na elkaar. De agendafunctie verwerkt .ics-bestanden parallel, buiten het bereik van sommige gateway- of cloudgebaseerde e-mailbeveiliging.

Daar ontstaat een blinde vlek. Een e-mail met een agenda-uitnodiging kan gerapporteerd of verwijderd worden, terwijl het agenda-item zelf gewoon blijft staan. Zo krijgt de aanvaller een tweede kans. Het probleem zit dus vaak in de overgang tussen kanalen, precies daar waar niemand volledig verantwoordelijk is.

De standaardreactie op phishing blijft awareness-training. Dat helpt, maar het pakt dit probleem maar gedeeltelijk aan. Onderzoek toont aan dat kwaadaardige agenda-bestanden tot 59% van de traditionele Secure Email Gateways passeren. Dat betekent dat meer dan de helft van de aanvallen de technische filters voorbijkomt nog voor een gebruiker ze überhaupt te zien krijgt.

In veel organisaties ontbreekt eigenaarschap over de werkplek als geheel. Wie is verantwoordelijk voor de standaardinstellingen van de agenda-omgeving? Wie monitort afwijkend gedrag in uitnodigingspatronen? Wie zorgt ervoor dat een gemeld agenda-item ook effectief uit het systeem verdwijnt en niet alleen uit de inbox?

Microsoft Defender for Office 365 introduceerde recent een Hard Delete-functie die zowel de e-mail als het gekoppelde agenda-item verwijdert. Die mogelijkheid bestaat dus, maar werkt alleen als SOC-teams weten dat ze moeten ingrijpen en als het meldproces snel genoeg loopt.

Concreet kunnen IT- en workplace-verantwoordelijken al drie dingen doen:

1. Controleer de standaardinstellingen van Google Workspace en Microsoft 365 op automatische verwerking van externe agenda-uitnodigingen. De veiligste instelling is zelden de standaardinstelling.
2. Zorg dat meldingen van verdachte agenda-items hetzelfde proces volgen als phishingmails, inclusief verwijdering van het item zelf.
3. Leg vast wie eigenaar is van de agenda-omgeving als onderdeel van de digitale werkplek.