“Siamo consapevoli degli spam in Google Calendar e stiamo lavorando assiduamente per risolvere il problema”. È quanto si legge nella pagina di Assistenza dell’applicazione di Big G per la programmazione di eventi e appuntamenti presa di mira dagli hacker. I pirati informatici riescono a entrare nei calendari degli utenti tramite falsi inviti spediti per email. Si tratta, in pratica, di “calendar phishing”, un sistema di attacco non tradizionale e molto redditizio per i criminali, perché in grado di colpire utenti esperti che non cadono nelle trappole più comuni.
Gli esperti di cyber-security avevano già rilevato come il prodotto Calendar di Google ha una falla di sicurezza che permette ai cyber-criminali di sfruttare un‘impostazione di default che aggiunge automaticamente gli inviti spediti via email all’agenda dell’utente. Questi inviti compaiono poi come notifica nella app Google Calendar; quando l’utente li clicca indirizzano verso una pagina web che sembra quella ufficiale di Google e chiede di inserire dati personali e finanziari.
Google ha indicato a chi usa Calendar (circa 1,5 miliardi di persone nel mondo hanno le app Google Gmail e Calendar) di segnalare la notifica come spam: in questo modo gli eventi spediti da un mittente identificato come fasullo vengono rimossi definitivamente dall’agenda personale.
La falla di Google Calendar è stata segnalata dalle società di cyber-sicurezza fin dal 2017. Black Hills Information Security aveva pubblicato un post che indicava come i falsi inviti erano resi possibili dalle maglie larghe dei controlli di sicurezza, sfruttando la notifica che compare sulla app e la tendenza dell’utente a cliccare distrattamente sull’invito.
“Siamo entrati in un’era in cui non è possibile fidarsi nemmeno della propria casella di posta elettronica. Abbiamo imparato tutti a diffidare delle mail indesiderate, ma una notifica ufficiale all’interno dell’applicazione Calendar ha molte meno probabilità di far scattare l’allarme“, spiega oggi Corrado Broli, Country Manager di Darktrace Italia. “Attraverso i nostri clienti abbiamo assistito non solo ad attacchi che sfruttano nuove piattaforme per il phishing, ma vediamo i primi segnali dell’utilizzo dell’intelligenza artificiale per rafforzare le e-mail di spoofing, generando delle mail che sono praticamente indistinguibili da quelle autentiche, inviate da contatti fidati”.
“La realtà è che tutte le applicazioni software, anche quelle più utilizzate, sono vulnerabili”, continua Broli. “Per le organizzazioni che devono proteggere i dati dei consumatori, l’intelligenza artificiale non sarà più un semplice nice-to-have ma risulterà fondamentale per poter monitorare costantemente le vulnerabilità prima che vengano sfruttate”.
Ancora lo scorso giugno gli esperti di Kaspersky avevano portato alla luce una truffa condotta nel mese di maggio contro gli utenti di Google Calendar tramite notifiche fraudolente che inducono a fornire le informazioni personali. Gli hacker, spiegava Kaspersky, sfruttano una funzione specifica del servizio che aggiunge, in automatico, inviti ed eventi ai calendari degli utenti. Solo adesso Google sembra aver preso sul serio la minaccia e aver deciso di riparare le falle del prodotto.
