In giornate che iniziano presto e finiscono tardi, scandite da mille impegni, capita di dimenticarsi un appuntamento. Per fortuna, a ricordartelo, interviene prontamente la notifica automatica, come quella sul calendario. Peccato che a volte questa nasconda una trappola che ha lo scopo di svuotarti il portafoglio. Si chiama Calendar Spam Phishing o Calphishing.
Quell’impegno che, in realtà, non esiste
Accendi lo smartphone o il computer al mattino e appare il reminder, che rinfresca la memoria su un appuntamento di cui ti eri completamente scordata. Arriva dal calendario del dispositivo, quindi, sul momento, non ti fai tante domande: è stata una semplice svista. Eppure dietro quella notifica, apparentemente innocua e utile, si nasconde una truffa. Quell’evento, infatti, non era programmato: è un raggiro per svuotarti il conto corrente. Gli esperti informatici avvertono che riguarda sia i device che usano Android sia quelli Apple.
Che cos’è il Calphishing
Il Calphishing sfrutta uno strumento che usiamo ogni giorno: i calendari digitali, come Google Calendar e Apple Calendar, spesso sincronizzati tra computer e smartphone. Comodissimi per avere tutti gli impegni sotto controllo, sempre e ovunque, possono però trasformarsi in una trappola. I truffatori riescono infatti a far comparire inviti e appuntamenti fraudolenti direttamente sul calendario, talvolta aggirando i filtri antispam della posta elettronica. E per rendere l’inganno ancora più efficace, contrassegnano gli eventi come prioritari, creando un senso di urgenza. Così, anziché fermarsi a riflettere, chi riceve la notifica rischia di cliccare subito sul link, magari solo per capire di quale appuntamento si tratti.
Occhio a non farsi prendere dal panico
È così che si finisce vittime del potenziale raggiro: proprio come nel phishing, il link spesso rimanda alla home page della propria banca, o meglio di un fake, che imita in tutto e per tutto il logo dell’istituto. Secondo quanto scoperto dagli esperti informatici, a questo punto compaiono avvisi in cui si parla di “addebito non autorizzato” o di una “verifica di sicurezza”, che viene richiesta all’utente per bloccare un’operazione sospetta compiuta da altri. Se il cliente procede, però, i dati di accesso con cui effettua l’azione di controllo – cioè username, password e codici di autorizzazione OTP – vengono clonati e usati in tempo reale dai truffatori, che procedono con bonifici istantanei e dunque non revocabili, svuotando il conto del malcapitato o della malcapitata.
Quando a rispondere è un presunto operatore
Un altro sistema di raggiro prevede anche un passaggio telefonico, che spesso funziona con le persone meno giovani, convinte di essere al sicuro parlando direttamente con un operatore. Si viene invitati a chiamare un numero che può essere molto simile a quello della propria banca, se non addirittura identico, anche se dall’altra parte non c’è affatto chi si crede. Le conseguenze possono essere due: la telefonata può comportare addebiti molto elevati oppure mettere l’utente in contatto con un interlocutore che nulla ha a che vedere con la banca. In questo caso si parla di phishing vocale. Attraverso tecniche di persuasione, note anche come “manipolazione psicologica”, la vittima viene indotta a fornire i dati del proprio conto, permettendo così ai truffatori di accedervi.
Più accorgimenti con l’Apple Calendar
Per chi utilizza dispositivi iOS, c’è un altro trabocchetto. Cliccando su “rifiuta”, si potrebbe pensare di aver eliminato il rischio. In realtà, questa operazione può comportare l’invio automatico di una notifica via email, che conferma ai truffatori che l’indirizzo di posta elettronica è attivo e apre la strada a nuovi tentativi di phishing. Per questo gli esperti consigliano di non interagire con notifiche sospette, soprattutto quando non si è certi del contenuto o dell’identità del mittente. Meglio, piuttosto, adottare alcune precauzioni, valide sia per le email e gli SMS sia per gli inviti ricevuti tramite calendario.
Le mosse giuste per tutelarsi
Un ulteriore livello di protezione si può garantire semplicemente cambiando le impostazioni del proprio calendario. Nel caso di dispositivi Android, occorre entrare nelle impostazioni, selezionare la funzione “impostazioni evento” e andare ad “aggiungi inviti ai miei calendari”. A questo punto bisogna scegliere l’opzione “solo se il mittente è noto”, in modo da bloccare eventuali messaggi o reminder da parte di sconosciuti. L’alternativa è cliccare “solo se rispondo all’invito”. E se si ha un Apple? In questo caso è sufficiente cliccare su “calendario” dalla funzione “impostazioni” e poi selezionare “account”, controllando l’elenco dei calendari presenti e cancellando eventuali profili non noti.
È boom di Calphishing
Solo così si potrà impedire a chi non è presente tra i propri contatti di inviare notifiche tramite il calendario, proteggendosi da un fenomeno in fortissima crescita. Secondo i ricercatori di Sublime Security, gli attacchi di questo tipo sono aumentati del 1.216% tra luglio e agosto. Luke Wescott, ingegnere della stessa azienda, impegnato quotidianamente nell’individuazione di queste truffe, ha spiegato perché il sistema è così efficace: «Le app del calendario, come Google Calendar, possono aggiungere inviti automaticamente senza che gli utenti li accettino. I truffatori non hanno nemmeno bisogno che tu apra un’email».
Distinguere appuntamenti veri da notifiche false
A far cadere nella trappola contribuisce il fatto che le notifiche non arrivino in modo isolato, via email o via SMS, come nel caso di phishing telefonico, ma in uno spazio come il calendario, mescolandosi agli appuntamenti reali: dalla visita dei figli dal dentista alla riunione di lavoro. Come spiega Max Gannon, responsabile dell’analisi delle informazioni dell’azienda Cofense, specializzata in cybersecurity, spesso il “cavallo di Troia” è rappresentato da piattaforme come Zoom, usate con molta frequenza anche per inoltrare gli inviti alle videochiamate.
Come si bloccano gli inviti fake
«Questo rende davvero difficile fermarli», spiega Gannon, tanto che «persino i sistemi di blocco basati sull’intelligenza artificiale hanno difficoltà». E ricorrere a filtri troppo restrittivi potrebbe rivelarsi un bel problema perché, come sottolinea l’esperto, «si finirebbe per bloccare anche gli inviti a riunioni legittime». Da qui il suggerimento di prestare la massima attenzione quando si ricevono segnalazioni o alert sospetti, esattamente come si dovrebbe fare con email o messaggi anomali. È poi sempre possibile segnalare l’invito come spam, senza però interagire con il mittente. E, quando si elimina la notifica, è bene verificare che anche l’appuntamento sia stato rimosso dal calendario.