日历邀请引来账号劫持：做了登录验证，通行证仍被偷走

明明收到了真正的登录验证提示，账号却仍可能落进别人手里。Material Security在2026年10月披露的一起攻击，把Google日历邀请变成入口：用户沿着邀请中的链接登录时，攻击者夹在中间转发交互，拿走已通过验证的会话。这是一次值得回看的安全事件，因为它利用的恰好是人们熟悉、也容易信任的工作流程。

这里的“会话”，可以理解为网站发给已登录用户的临时通行证。有了它，打开下一封邮件时就不用重新输密码。微软早在2022年便记录过窃取这种通行证的钓鱼攻击。因此，本案并不是发现了“破解两步验证”的全新魔法，而是把已有的中间人手法塞进了日历和云办公场景。门口查过身份，不代表通行证被复制后仍然安全。

Material称，诱饵链接的第一站往往真是Google服务，随后才转往恶意目的地。用户看到的登录和验证过程因此可能相当逼真。只看第一段网址，或者看到熟悉的服务名称就放下戒心，并不能替代检查最终登录位置。它的反差在于：攻击者借用了正常服务建立的信任，而不必每一步都搭建一个明显可疑的假网站。

在10月28日的后续报告中，Material称其行动处置了897个相关域名，并在参与共享数据的客户样本中拦截68,676条消息。这两个数字分别是基础设施和消息数量，不是受害人数。该公司当时判断活动已经分散、这一轮攻击似乎结束；本文并不是把这批攻击描述成今天仍在同样规模运行。

普通用户能先处理的是日历入口。Google帮助文档提供“仅当发件人已知时”才自动加入邀请的选项，并支持把可疑日程举报为垃圾内容。不过，已知发件人包括曾联系过的人；熟人账号也可能被盗。因此，这个设置可以减少陌生日程，却不能替所有邀请背书。意外出现的登录要求仍值得停下来，通过自己平常的入口查看邮件或文件。

更深一层的区别在认证方式。美国NIST的身份指南解释，手动输入的一次性验证码并不具备抗钓鱼能力，因为它可以被转交到另一个登录过程；FIDO2/WebAuthn则把认证与真实网站的域名关联起来。可以把前者想成谁拿到都能递交的口令，后者更像只认指定门锁的钥匙。对企业而言，这个案例提醒的是同时保护邀请入口、登录过程和登录后的会话，而不是让员工再多记住一个可疑网址。

原始研究日期：Material Security，2026年10月1日；后续报告，2026年10月28日。