In questo articolo Indice dei contenuti 2 sezioni
Basta un invito comparso all’improvviso nell’agenda, magari scambiato per un appuntamento dimenticato, per finire nella rete del Calendar Phishing, la truffa informatica che prende di mira i calendari degli utenti Microsoft e Google. Il meccanismo è semplice: un clic su un link fraudolento, l’inserimento dei propri dati e delle credenziali, e l’account personale o aziendale finisce nelle mani sbagliate. Secondo i ricercatori di Sublime Security questi attacchi, chiamati anche Calphishing, sono aumentati del 1.216% tra luglio e agosto.
Non si tratta di una tecnica del tutto nuova, visto che sui social circolano testimonianze vecchie di anni. Negli ultimi tempi però il fenomeno ha preso decisamente piede. Il sistema usato dagli attaccanti è elementare ma funziona: un invito sul calendario viene spedito a una casella email nella speranza che qualcuno lo consideri legittimo o pensi a una propria dimenticanza. Non serve nemmeno accettarlo. Salvo impostazioni diverse, l’evento compare comunque nell’agenda della vittima. A fare danni sono le istruzioni contenute al suo interno e i collegamenti verso siti all’apparenza affidabili. Gli espedienti cambiano di volta in volta e vanno dalla finta riunione al falso rinnovo, fino alla richiesta di installare un software.
C’è poi un dettaglio che rende questa tecnica particolarmente insidiosa. Il contenuto fraudolento può sopravvivere anche quando l’email originale viene cancellata. L’appuntamento rischia infatti di restare visibile nel calendario dopo che il messaggio è stato riconosciuto come spam, con tanto di notifiche e promemoria che continuano a ricordarne l’esistenza.
Operation Cloudfire e gli attacchi alle piattaforme Microsoft
Nel mirino ci sono soprattutto i calendari aziendali offerti dai due colossi. Un rapporto pubblicato a inizio ottobre dall’agenzia di sicurezza Material Security, che da tempo segue l’evoluzione della campagna ribattezzata Operation Cloudfire, racconta di oltre 500 domini truffaldini individuati e bloccati, tutti pensati per colpire gli utenti di Google Calendar. Gli aggressori inviavano gli inviti alle vittime, che venivano dirottate prima verso infrastrutture legittime di Google e poi verso una falsa procedura di autenticazione gestita tramite un proxy. Arrivati a quel punto, le richieste di verifica venivano trasmesse in tempo reale al servizio autentico e la sessione autenticata finiva intercettata.
Un po’ più elaborato, ma non meno pericoloso, il metodo scoperto da Fortra Intelligence and Research Experts (Fire) e rivolto agli account Microsoft. Qui il Calphishing si combina con ConsentFix, conosciuto anche come device code phishing, una tecnica che i criminali informatici sfruttano per sottrarre le credenziali. Gli inviti allegati non fanno scattare gli strumenti di sicurezza della posta elettronica e in genere gli utenti si fidano del normale flusso di lavoro. L’aggiunta di ConsentFix sfrutta una finestra popup di accesso con una pagina di autenticazione Microsoft legittima, così da rubare la sessione e prendere il controllo dell’account.
Le testimonianze delle vittime e come proteggersi
Su Reddit diversi utenti raccontano cosa è successo dopo essere caduti nella truffa. Un utente Google, per esempio, ha accettato un invito da chi si spacciava per un vecchio amico. Una volta consegnata la password, dal suo account sono partiti più di 600 inviti fraudolenti diretti ai suoi contatti. Un’altra persona descrive una variante diversa: l’invito la spingeva a chiamare un finto servizio clienti per verificare il rinnovo di un antivirus a un prezzo esagerato. Dall’altra parte della cornetta l’attaccante chiedeva di installare sul Pc un programma per annullare l’addebito, ma la richiesta non è andata a buon fine perché la vittima non ci è cascata. Nelle email possono comparire anche dei Qr Code che, una volta scansionati, portano a pagine compromesse.
Nonostante la raffinatezza di questi attacchi, difendersi è possibile. Su Google Calendar, nella sezione Impostazioni dedicata agli eventi, alla voce «Aggiungi inviti al mio calendario» si può scegliere di accettare solo i mittenti noti oppure solo gli inviti a cui si risponde dall’email. Su Outlook la faccenda è meno immediata, perché occorre controllare le opzioni di elaborazione automatica degli inviti, che cambiano a seconda della versione e del tipo di account. Davanti a un appuntamento sospetto conviene evitare sia di accettarlo sia di rifiutarlo, segnalandolo invece come spam o eliminandolo senza inviare alcuna risposta. Vale comunque la pena ricontrollare l’agenda, perché l’invito potrebbe trovarsi ancora lì.
Fonte: TecnoAndroid