Un nuovo attacco informatico che sfrutta gli appuntamenti nei calendari per rubare account sta colpendo gli utenti online. La tecnica, chiamata Calendar Phishing o Calphishing, è in forte crescita e rappresenta una minaccia concreta per chi utilizza servizi di posta elettronica e calendari digitali.
Cos'è il Calendar Phishing
Secondo quanto riportato da Fastweb, gli attacchi che utilizzano questa tecnica sono aumentati del 1.216% da luglio ad agosto, come indicato da Sublime Security. Una crescita che mostra come gli aggressori stiano investendo sempre più in questo tipo di truffa.
Il funzionamento è semplice: gli attaccanti inviano inviti a riunioni o eventi alle caselle email delle vittime, sperando che queste li considerino legittimi. Il problema è che, in molti casi, non serve nemmeno accettare l'invito per essere colpiti: basta che l'evento arrivi nella casella di posta perché compaia nel calendario associato.
Una volta nel calendario, l'invito può contenere link o contenuti fraudolenti che restano visibili anche se l'email originale viene eliminata. Questo rende il Calendar Phishing particolarmente insidioso, perché sfrutta uno strumento che molti utenti consultano quotidianamente.
Obiettivi e modalità di attacco
Gli obiettivi principali sono i calendari aziendali di Microsoft e Google. Secondo quanto riportato da Fastweb, Material Security ha bloccato oltre 500 domini truffaldini mirati a Google Calendar. In questo caso, gli inviti fraudolenti venivano veicolati tramite infrastrutture legittime di Google, seguiti da una falsa procedura di autenticazione.
Sul fronte Microsoft, gli attaccanti combinano il Calphishing con tecniche come il ConsentFix, che consentono di sottrarre credenziali e ottenere accessi non autorizzati. Il rischio aumenta quando gli utenti inseriscono dati sensibili su pagine contraffatte, convinti che si tratti di procedure di sicurezza legittime.
Calendar spam: la nuova truffa che colpisce Android e iPhone
Una nuova truffa online sta prendendo di mira gli utenti di Android e iPhone sfruttando una funzionalità spesso ignorata: la sincronizzazione automatica degli eventi sui calendari digitali. Questa tecnica, nota come Calendar spam, prende di mira sia gli utenti Android sia chi possiede un iPhone.
Secondo quanto riportato da Italia Report USA, la truffa si basa su inviti ingannevoli che superano i normali filtri antispam e appaiono direttamente nei calendari degli utenti. Gli aggressori inviano inviti a eventi di gruppo attraverso applicazioni di messaggistica, approfittando del fatto che molti servizi di calendario aggiungono automaticamente gli appuntamenti ricevuti via email o messaggio.
Una volta inseriti nel calendario, questi eventi contengono link fraudolenti che possono portare l'utente su siti di phishing o pagine che richiedono informazioni personali. Il problema principale è che, anche se il messaggio originale viene eliminato, l'evento resta visibile nel calendario, aumentando le probabilità che l'utente faccia clic sul link in un secondo momento.
Notifiche urgenti e manipolazione psicologica
La truffa sfrutta anche un aspetto psicologico. Gli eventi sono spesso accompagnati da notifiche e promemoria sul telefono, creando un senso di urgenza. Messaggi come "Problema urgente con il tuo account" o "Guadagna subito 500 euro" generano una reazione emotiva immediata, spingendo la vittima ad agire senza riflettere.
Rischi per il conto corrente
Secondo quanto riportato da Italia Report USA, i rischi sono elevati. Basta un clic su di un link fraudolento e l'inserimento dei propri dati e delle proprie credenziali per ritrovarsi con il proprio account compromesso, mentre in alcuni casi può arrivare anche alla sottrazione del denaro presente sul conto corrente.
Attenzione agli utenti Apple
Gli utenti Apple devono prestare particolare attenzione al tasto "Rifiuta". Premendo "Rifiuta", infatti, si invia una notifica al mittente che conferma la validità dell'email, permettendo agli spammer di continuare a inviare messaggi. La soluzione più sicura è ignorare l'evento sospetto e procedere alla sua eliminazione manuale dal calendario.
Come proteggersi
Per evitare di cadere nella trappola, gli esperti consigliano di disattivare la sincronizzazione automatica degli eventi sui calendari digitali e di eliminare manualmente gli appuntamenti sospetti. Un evento inatteso va verificato senza utilizzare link o contatti presenti direttamente nell'invito.
Foto di copertina: Foto di Windows su Unsplash