Apri lo smartphone e trovi una notifica per un appuntamento, eppure quell’evento non lo hai mai programmato. Potremmo pensare che si tratti di una dimenticanza (ed è lecito, può capitare), ma la realtà può essere ben diversa. Sta girando la cosiddetta truffa del calendario (calendar spam phishing), l’ennesimo raggiro informatico pensato per derubare gli ignari utenti. Stavolta a finire nel mirino è l’agenda, sia su dispositivi Android che su iPhone.
Come funziona questa truffa
La truffa del calendario non funziona come il classico phishing via posta elettronica o col sistema degli SMS truffaldini (smishing). Questo raggiro colpisce sia i dispositivi Android sia gli iPhone sfruttando le impostazioni automatiche di Google Calendar e Apple Calendar. Come ben sa chi li utilizza abitualmente, questi software di calendario in genere vengono configurati per sincronizzare e inserire nell’agenda qualunque invito ricevuto via email in formato iCalendar, anche se inoltrato da mittenti sconosciuti. Ed è proprio su questo automatismo che funziona il “giochino” dei criminali, che possono scavalcare con facilità i filtri antispam delle caselle di posta. Il messaggio non viene bloccato e l’evento viene inserito direttamente tra gli impegni in calendario. Una volta inserito l’evento, all’orario stabilito dai truffatori il sistema operativo genera una notifica push che segnala una priorità e, generando “allarme” tra una riunione di lavoro, una visita medica o altri impegni importanti, questo senso di urgenza spinge il malcapitato utente ad agire senza troppo riflettere. Il rischio è cliccarci su, senza rendersi conto del pericolo.
L’evento potrebbe contenere anche un link che rimanda a una pagina clone della propria banca, spesso con la scusa di un “addebito non autorizzato” o di una “verifica di sicurezza”. Se l’utente vi accede e inserisce i propri dati di accesso – username, password e soprattutto i codici di autorizzazione OTP -, i truffatori possono accedere in tempo reale al conto e disporre bonifici istantanei. Possono prosciugare letteralmente i fondi disponibili. C’è anche un altro modo in cui i truffatori raggirano gli utenti, servendosi di un numero telefonico presentato come contatto d’urgenza. La chiamata – chiaramente fasulla – può portare ad addebiti salatissimi sul proprio credito telefonico, oppure mettere in contatto con un presunto operatore che, con abili tecniche di vishing (ovvero phishing vocale) e manipolazione psicologica, finge controlli antifrode per convincere l’utente a comunicare a voce dati sensibili e riservati.
Attenzione all’insidia di Apple Calendar
Per quanto riguarda i dispositivi iOS, attenzione a un’ulteriore insidia. Quando riceviamo una notifica o un invito a un appuntamento sospetto, possiamo cliccare su “rifiuta” così da rimuoverlo dalla nostra agenda. È un errore, perché l’applicazione invia automaticamente una notifica di risposta all’indirizzo email del mittente. Significa che, in questo caso, confermiamo al truffatore (o ai truffatori) che la nostra casella di posta elettronica è reale e attiva, dunque può diventare un bersaglio per futuri attacchi.
La regola è semplice: di fronte a un invito sospetto, non cliccare mai “accetta” né “rifiuta”.
Come evitare la truffa del calendario
Purtroppo sappiamo bene che le truffe virtuali diventano sempre più sofisticate e subdole, tanto da far cadere in trappola anche gli utenti più esperti. Nel caso della truffa del calendario, possiamo adottare alcune accortezze. Prima di tutto, possiamo modificare le impostazioni di Google Calendar: accedendo alla versione desktop dal browser del PC, cliccare sull’icona delle “Impostazioni” e selezionare “Impostazioni evento”; dopodiché alla voce “Aggiungi inviti ai miei calendari”, impostare la scelta su “Solo se il mittente è noto” o “Solo se rispondo all’invito”. In questo modo, nessun mittente sconosciuto potrà più piazzare eventi nella nostra agenda. Su iPhone, invece, aprire le “Impostazioni” di iOS, entrare nella sezione “Calendario”, cliccare su “Account”. Dopodiché, controllare l’elenco dei calendari iscritti: se ci sono profili anomali o sottoscrizioni indesiderate, eliminarle subito.
