Un invito nel calendario può rubarti l'account Google o Outlook
Un appuntamento che non hai mai aperto può bastare per rubarti la sessione di Google o Microsoft: così funziona il calendar phishing, e come proteggerti.
Perché conta
Questi attacchi passano dal calendario invece che dalla posta, quindi aggirano i controlli antispam, e rubano direttamente una sessione già autenticata: password e codice a due fattori, da soli, non bastano più a fermarli.
In pratica
Filtrare chi può aggiungere eventi al tuo calendario, non rispondere mai a un invito sospetto e controllare ogni tanto le sessioni attive del tuo account riduce di molto il rischio, anche senza competenze tecniche.
Negli ultimi mesi sta crescendo un tipo di truffa che non arriva nella posta, ma direttamente nel calendario. Un estraneo ti invita a una riunione finta, tu non fai nulla, ma l'appuntamento compare comunque nella tua agenda: se poi lo apri o tocchi il link dentro la descrizione, può bastare per perdere il controllo del tuo account.
Se lo pensi come un'altra mail-truffa sei già fuori strada: a differenza di un allegato o di un link in una email, un invito di calendario non passa dai filtri antispam della posta e, salvo impostazioni diverse, viene aggiunto da solo all'agenda appena arriva, anche senza che tu lo accetti. Cancellare o segnalare come spam l'email originale, spesso, non cancella l'evento già creato: resta lì, con le sue notifiche e i suoi promemoria.
L'azienda di sicurezza Material Security ha chiamato questa campagna Operation Cloudfire e ha già bloccato oltre 500 domini creati apposta per questo tipo di truffa. L'esca è un invito di Google Calendar, spesso mandato in copia nascosta da un mittente con cui hai già avuto contatti, su temi banali: una segreteria telefonica, una fattura non pagata, una citazione in tribunale. Il link dentro l'invito passa quasi sempre per indirizzi veri di Google (redirect, Google Drive), quindi sembra legittimo anche a chi controlla con attenzione.
La parte più pericolosa è il passaggio successivo: chi clicca finisce su una pagina di accesso che sembra Google in tutto e per tutto, perché è un proxy in tempo reale messo davanti alla pagina vera. Mentre inserisci la password, il sistema la passa subito a Google e ti chiede di confermare anche la verifica in due passaggi (codice via SMS, app di autenticazione, conferma col telefono): tu confermi, pensando di accedere al tuo account, e l'attaccante osserva tutto in diretta. Il risultato non è solo una password rubata, ma una sessione già autenticata: con quella, chi ti ha truffato può leggere la posta, i file su Drive e concedersi accessi extra senza bisogno di nessun codice.
Una campagna simile, descritta dall'azienda Fortra, prende di mira Microsoft Outlook e Microsoft 365 con lo stesso principio (un invito, poi un passaggio che ruba l'accesso): secondo i dati di Sublime Security, che osserva il traffico email di molte aziende, gli attacchi di questo tipo sono aumentati del 282% a giugno, del 338% a luglio e del 1.216% ad agosto rispetto al mese precedente.
Non serve diventare esperti di sicurezza per difendersi, bastano poche impostazioni:
- Su Google Calendar, nelle impostazioni degli eventi, scegli di aggiungere al calendario solo gli inviti di mittenti noti o solo dopo aver risposto tu stesso.
- Non premere mai «accetta» o «rifiuta» su un invito sospetto: conferma al mittente che il tuo indirizzo è attivo. Meglio eliminarlo o segnalarlo come spam.
- Su Outlook controlla le opzioni di elaborazione automatica degli inviti nelle impostazioni dell'account (variano a seconda della versione).
- Ogni tanto dai un'occhiata al calendario: un invito può restare visibile anche dopo che l'email è stata cestinata.
Se hai già cliccato e inserito le tue credenziali, cambia subito la password dell'account coinvolto e controlla, dalle impostazioni di sicurezza di Google o Microsoft, le sessioni attive e i permessi concessi ad app esterne: sono quelli il vero bersaglio di questo attacco, non solo la password.
