[IRT@UniSI] Phishing via inviti da sconosciuti su Google Calendar

Alcuni utenti hanno segnalato la presenza di inviti non richiesti/non previsti su Google Calendar. Sono tentativi di truffa che, sfruttando la notizia di transazioni in criptovaluta con cui l’utente non ha niente a che fare, inducono a cliccare sul link malevolo contenuti nel testo dell’invito:

A quanto risulta è una tecnica relativamente nuova di truffa, chiamata “Spoofing di Google Calendar”: i truffatori sfruttano le caratteristiche di Google Calendar per inviare e-mail di phishing che sembrano inviti a riunioni legittimi, con un link contenente il “gancio” malevolo su cui è importate NON cliccare. Vi sono notizie che questo tipo di attacco si è evoluto anche sulla piattaforma di Google Drawings.

Questo tipo di attacco è possibile poiché, per impostazione predefinita, Google Calendar aggiunge automaticamente inviti di calendario al calendario di un utente, anche se l’invito non è stato richiesto. Gli aggressori ne approfittano per inserire link dannosi nei calendari degli utenti senza richiedere alcuna interazione via e-mail.

E’ possibile disattivare la ricezione di inviti da utenti non conosciuti, attraverso le Impostazioni del proprio Google Calendar.

A scopo precauzionale, a decorrere da Lunedì 22 Settembre 2025, tutti gli account Google Calendar di @unisi.it e @student.unisi.it sono stati abilitati alla ricezione degli inviti “Solo se il mittente è noto”, contromisura suggerita da Google per limitare questo attacco. Nel caso si desiderasse ricevere inviti anche da mittenti esterni sarà necessario modificare le impostazioni del calendario in “Da tutti“, accettando però il rischio di ricevere anche inviti fraudolenti.

Concludendo, nel caso aveste ricevuto un invito di questo tipo o comunque da un mittente non conosciuto, siete invitati a NON cliccare su alcun link contenuto nell’invito ed a cancellarlo immediatamente.

Ulteriori informazioni tecniche su questo attacco sono disponibili a questo sito: powerdmarc.com/it/google-calendar-spoofing/

Cordiali saluti,
Michele Pinassi