Das iCalendar-Format bietet für Phishing-Angriffe zahlreiche Ansatzpunkte. Neben Titel und Beschreibung enthalten ICS-Dateien unter anderem Angaben zu Organisator und Ort sowie URLs, Anhänge und benutzerdefinierte Metadaten. Laut Barracuda platzieren Angreifer Phishing-Inhalte etwa in Beschreibungs- oder Ortsfeldern, betten HTML-Inhalte ein oder hinterlegen QR-Codes. Letztere erschweren eine URL-basierte Prüfung zusätzlich und verlagern den Zugriff häufig auf Mobilgeräte außerhalb der überwachten Arbeitsplatzumgebung. Ziel sind unter anderem gefälschte Anmeldeseiten; über Adversary-in-the-Middle-Techniken lassen sich dabei neben Zugangsdaten auch MFA-Sitzungsinformationen abgreifen.

Nutzer und Administratoren sollten ICS-Dateien daher wie aktive Inhalte behandeln. Barracuda empfiehlt, Kalender-Metadaten einschließlich benutzerdefinierter X-Felder zu analysieren, eingebettete Links und Anhänge zu prüfen sowie HTML-Inhalte und QR-Codes auszuwerten. Auffällig sind etwa abweichende Organisator-Angaben oder Sitzungen, die kurz nach dem Eingang einer Einladung entstehen. Bei einem Fund genügt es zudem nicht, nur die zugehörige E-Mail zu entfernen: Auch der bereits angelegte Kalendereintrag muss aus den betroffenen Postfächern gelöscht werden.