Il phishing cambia forma: attenzione anche al calendario

Per anni abbiamo imparato a diffidare delle e-mail sospette.

Mittente sconosciuto, allegato inatteso, richiesta urgente, collegamento anomalo: sono ormai segnali che molti utenti hanno imparato, almeno in parte, a riconoscere.

Ma il cybercrime evolve insieme alle nostre abitudini.

Oggi l’attenzione degli attaccanti si sta spostando anche verso strumenti che utilizziamo quotidianamente e ai quali siamo abituati ad attribuire un livello di fiducia maggiore: calendari, appuntamenti, inviti alle riunioni e notifiche.

Recentemente anche il Corriere.it ha richiamato l’attenzione sul fenomeno degli appuntamenti utilizzati per tentare di sottrarre account e credenziali.

Il fenomeno è confermato anche dalla ricerca nel settore cybersecurity. Barracuda descrive tecniche nelle quali gli attaccanti utilizzano inviti di calendario e file .ics contenenti link di phishing, QR code o false richieste di carattere aziendale. [blog.barracuda.com]

Perché il calendario è interessante per un attaccante?

Perché, semplicemente, ci fidiamo del calendario.

Durante una normale giornata lavorativa siamo abituati a ricevere:

• riunioni Teams;
• appuntamenti con clienti;
• meeting commerciali;
• promemoria amministrativi;
• scadenze;
• appuntamenti tecnici;
• inviti provenienti da soggetti esterni.

Un appuntamento che compare nel calendario viene quindi percepito in maniera differente rispetto a una classica email di phishing.

Ed è proprio questa fiducia a poter diventare un nuovo vettore di social engineering.

Barracuda evidenzia che gli inviti di calendario possono persino persistere nel calendario dopo che il messaggio email originale è stato eliminato o posto in quarantena. La stessa ricerca sottolinea inoltre la particolare rilevanza dei dispositivi mobili, sui quali la visualizzazione delle notifiche può essere differente rispetto ai controlli disponibili in ambiente desktop. [blog.barracuda.com]

---

Come può funzionare un attacco

Il principio è relativamente semplice.

L’utente riceve un invito apparentemente normale.

Il soggetto può richiamare attività plausibili come:

“Microsoft 365 Account Verification”
“Password Expiration”
“Security Alert”
“Compliance Review”
“Invoice / Payment notification”
“HR Policy Update”

All’interno dell’evento possono essere presenti un link, un QR code o altre istruzioni.

Barracuda documenta, per esempio, falsi eventi relativi ad attività HR, payroll, notifiche amministrative o compliance. L’utente viene quindi portato verso una falsa pagina di autenticazione controllata dall’attaccante. [blog.barracuda.com]

A quel punto entra in gioco il social engineering:

“Il messaggio è nel mio calendario. Probabilmente è affidabile.”

Ed è esattamente questo automatismo che l’attaccante cerca di sfruttare.

---

Il problema non è il calendario. È la fiducia digitale.

Questa evoluzione evidenzia un principio fondamentale della cybersecurity moderna:

non possiamo più considerare sicuro qualcosa semplicemente perché appare all’interno di uno strumento aziendale familiare.

Email, calendario, collaboration, cloud e identità digitale fanno oggi parte dello stesso ecosistema.

Di conseguenza anche la protezione deve diventare multilivello.

Non basta più installare un antivirus sui PC.

Allo stesso modo non è sufficiente affidarsi esclusivamente a un filtro antispam.

La protezione dell’azienda passa dalla combinazione di:

Identità + Endpoint + Email + Cloud + Network + Monitoraggio + Persone

---

Come proteggere concretamente l’azienda

1. Proteggere prima di tutto le identità

Le credenziali rappresentano uno degli obiettivi degli attacchi di phishing.

Per questo l’accesso ai sistemi aziendali dovrebbe essere protetto con meccanismi aggiuntivi rispetto alla sola password.

L’adozione dell’autenticazione multifattore rappresenta quindi un livello importante della strategia di sicurezza.

Ma la cybersecurity non dovrebbe fermarsi alla MFA: identità, dispositivo, provenienza della connessione e comportamento dell’accesso devono essere considerati parti dello stesso problema di sicurezza.

---

2. Considerare il calendario parte della superficie di attacco

Le aziende dovrebbero smettere di considerare il calendario come un semplice strumento di produttività.

Barracuda raccomanda esplicitamente alle organizzazioni di ispezionare i file .ics, monitorare le attività legate alle identità e formare gli utenti affinché riconoscano che anche un invito di calendario può costituire un tentativo di phishing. [blog.barracuda.com]

La sicurezza della collaborazione aziendale deve quindi comprendere anche meeting e calendari.

---

3. Prestare attenzione agli inviti provenienti dall’esterno

Un appuntamento inatteso dovrebbe ricevere la stessa attenzione di una email inattesa.

Prima di seguire collegamenti presenti nell’invito è opportuno verificare:

• chi è realmente l’organizzatore;
• il dominio dal quale proviene;
• se l’appuntamento era realmente atteso;
• la destinazione effettiva dei link;
• l’eventuale presenza di QR code;
• richieste anomale di autenticazione;
• richieste di pagamento o modifica delle credenziali.

---

4. Proteggere Microsoft 365 e Google Workspace come infrastrutture aziendali

Questo tipo di attacco interessa il mondo della collaborazione cloud.

Sono documentate campagne e tecniche riguardanti sia Google Calendar sia ambienti Microsoft 365. [allaboutcookies.org], [blog.admindroid.com]

Significa che la configurazione del tenant cloud diventa parte integrante della postura di sicurezza aziendale.

Per un’organizzazione moderna non è quindi sufficiente chiedersi:

“Abbiamo un antivirus?”

La domanda corretta è:

“Abbiamo configurato e monitorato adeguatamente identità, posta, collaboration, endpoint e accessi al cloud?”

---

La formazione rimane una delle difese fondamentali

La tecnologia riduce enormemente il rischio, ma il fattore umano continua ad avere un ruolo importante.

E c’è un problema: gli utenti stanno diventando più bravi a riconoscere il phishing tradizionale.

Gli attaccanti lo sanno.

E cercano quindi canali nei quali il nostro livello di attenzione è inferiore.

Un appuntamento nel calendario.

Una notifica.

Un QR code.

Una richiesta apparentemente proveniente dal reparto IT.

Una falsa scadenza amministrativa.

La Security Awareness deve evolvere insieme alle minacce.

Non serve creare paranoia.

Serve creare consapevolezza.

---

La sicurezza informatica non è un prodotto. È un processo.

In Assitech.Net affrontiamo la cybersecurity partendo da un principio semplice:

prima comprendere l’infrastruttura, poi proteggerla.

La documentazione aziendale descrive Assitech come partner attivo nella consulenza IT, cybersecurity, GDPR/NIS2 e digitalizzazione e sottolinea un approccio basato su soluzioni personalizzate, formazione e innovazione.

Per questo un Cyber Security Assessment non dovrebbe concentrarsi su un singolo prodotto, ma verificare nel complesso:

• configurazione Microsoft 365 e servizi cloud;
• gestione delle identità;
• autenticazione e accessi;
• sicurezza degli endpoint;
• protezione della posta elettronica;
• networking e sicurezza perimetrale;
• backup e ripristino;
• monitoraggio;
• vulnerabilità;
• procedure operative;
• consapevolezza degli utenti.

Perché gli attaccanti cercano il punto più debole dell’infrastruttura. Noi dobbiamo cercarlo prima di loro.

---

CTA PER IL SITO

Sai realmente quanto è protetto il tuo ambiente Microsoft 365?

Un’infrastruttura apparentemente funzionante non è necessariamente un’infrastruttura adeguatamente protetta.

Assitech può affiancare la tua azienda nell’analisi della postura di sicurezza dell’ambiente IT e Cloud, individuando configurazioni, vulnerabilità e aree di miglioramento.

Richiedi un Cyber Security Assessment

Assitech.Net | Tecnologia che protegge, soluzioni che evolvono insieme.

La frase riprende direttamente la vision presente nel profilo Assitech.