Un appuntamento che compare sul calendario senza che nessuno lo abbia richiesto, magari con un promemoria per un pagamento o il rinnovo di un servizio. Dietro potrebbe nascondersi un tentativo di phishing. Gli inviti di Google Calendar e Microsoft Outlook vengono sfruttati sempre più spesso dai criminali informatici per rubare account, approfittando di alcune caratteristiche dei servizi di calendario che rendono questi messaggi più difficili da intercettare.
CalPhishing, numeri in forte crescita
Il fenomeno, noto come Calendar Phishing o CalPhishing, esiste da tempo ma la sua diffusione è aumentata sensibilmente. Secondo i dati raccolti da Sublime Security, ad agosto gli attacchi individuati tramite inviti di calendario sono cresciuti del 1.216% rispetto a luglio. Il problema nasce dalla gestione degli inviti: a seconda delle impostazioni, un evento può comparire automaticamente nell'agenda del destinatario anche senza accettazione. I sistemi di sicurezza possono bloccare l'email fraudolenta senza intervenire sull'appuntamento già presente, che resta visibile con i relativi promemoria. Gli aggressori inseriscono così nelle descrizioni link a siti contraffatti, richieste di pagamento o inviti a scaricare programmi.
Le campagne più insidiose
Una delle campagne più articolate, individuata da Material Security e ribattezzata Operation Cloudfire, prende di mira soprattutto gli account Google aziendali con inviti che rimandano inizialmente a infrastrutture legittime di Google. La vittima viene poi indirizzata verso una procedura di autenticazione controllata dagli aggressori, che usano un proxy per intercettare la sessione anche in presenza della verifica a due fattori. Material Security ha fatto disattivare oltre 500 domini collegati alla campagna. Anche gli account Microsoft sono nel mirino: Fortra ha documentato una campagna che combina inviti fraudolenti e ConsentFix, tecnica che sfrutta i meccanismi di autenticazione di Microsoft.
Per limitare i rischi, Google Calendar permette di modificare le impostazioni sull'aggiunta automatica degli appuntamenti, scegliendo di visualizzare solo quelli provenienti da mittenti conosciuti o a cui si è risposto via email. Su Outlook conviene controllare il mittente prima di aprire i link nella descrizione. La presenza di un appuntamento nel calendario non garantisce che sia legittimo, così come un link a una pagina di autenticazione apparentemente autentica non esclude un tentativo di phishing.
