In questo articolo Indice dei contenuti 2 sezioni
n appuntamento che spunta all’improvviso nel calendario senza che nessuno lo abbia fissato, magari accompagnato da un promemoria per saldare un pagamento o rinnovare un servizio, può nascondere un tentativo di phishing. Gli inviti di Google Calendar e Microsoft Outlook sono diventati uno strumento sempre più usato dai criminali informatici per sottrarre account. Il motivo è piuttosto semplice, perché alcune caratteristiche dei servizi di calendario rendono questi messaggi più difficili da intercettare rispetto alla classica email truffaldina.
Il fenomeno ha anche un nome preciso, Calendar Phishing, spesso abbreviato in CalPhishing. Non si tratta di una novità assoluta, visto che la tecnica circola già da tempo, ma la sua diffusione è cresciuta in modo netto. I dati raccolti da Sublime Security descrivono bene la portata del fenomeno. Ad agosto gli attacchi individuati attraverso gli inviti di calendario sono aumentati del 1.216% rispetto a luglio. Un balzo enorme, anche se va precisato che il confronto riguarda esclusivamente gli attacchi osservati dalla società stessa.
Perché gli inviti sfuggono ai controlli
Tutto ruota attorno al modo in cui vengono gestiti gli inviti. In base alle impostazioni scelte, un evento può comparire in automatico nell’agenda del destinatario anche senza essere mai stato accettato. Ed è proprio lì che si apre la falla. I sistemi di sicurezza potrebbero riconoscere e bloccare l’email fraudolenta lasciando però intatto l’appuntamento già finito nel calendario. L’utente continua così a vederlo e in alcuni casi riceve pure i relativi promemoria, come se si trattasse di un impegno qualsiasi. Gli aggressori sfruttano questo spiraglio per infilare nella descrizione degli eventi link a siti contraffatti, richieste di pagamento o inviti a scaricare programmi.
Tra le campagne più elaborate c’è quella scoperta da Material Security e battezzata Operation Cloudfire. Il bersaglio principale sono gli account Google aziendali, raggiunti con inviti che in un primo momento rimandano a infrastrutture legittime di Google. Subito dopo però la vittima viene dirottata verso una procedura di autenticazione gestita dai truffatori, che grazie a un proxy riescono a intercettare la sessione anche quando è attiva la verifica a due fattori. Quindi nemmeno questa protezione, spesso considerata una garanzia, basta a fermare l’attacco. La società ha fatto sapere di aver ottenuto la disattivazione di oltre 500 domini collegati alla campagna.
Anche Outlook nel mirino, ecco come difendersi
Il problema non riguarda soltanto il mondo Google. Pure gli account Microsoft finiscono al centro di attacchi molto simili. Fortra ha documentato una campagna che unisce inviti fraudolenti e ConsentFix, una tecnica che approfitta dei meccanismi di autenticazione di Microsoft. Le vittime vengono adescate con falsi avvisi di rinnovo oppure con richieste di firma elettronica e poi spinte a seguire procedure che possono permettere ai malintenzionati di impadronirsi delle loro sessioni di accesso.
Qualche contromisura per fortuna esiste. Google Calendar consente di modificare le impostazioni che regolano l’aggiunta automatica degli appuntamenti, scegliendo di mostrare soltanto quelli che arrivano da mittenti conosciuti oppure quelli a cui si è già risposto via email. Su Outlook invece la strada più prudente è verificare chi ha inviato l’evento prima di aprire qualsiasi collegamento presente nella descrizione. Va tenuto a mente che la semplice presenza di un appuntamento in agenda non ne garantisce l’autenticità, così come una pagina di accesso dall’aspetto credibile non basta a escludere un tentativo di phishing.
Fonte: TecnoAndroid