Una truffa sofisticata sfrutta una falla di Google e Microsoft: i criminali utilizzano gli inviti del calendario per effettuare phishing

Il problema è aggravato dal fatto che la maggior parte delle soluzioni per la sicurezza della posta elettronica non sono in grado di rimuovere voci dannose già create nei calendari. Il messaggio originale può essere eliminato, ma la pianificazione rimane attiva.

In Microsoft 365 la situazione è particolarmente critica, poiché la piattaforma trasferisce automaticamente gli allegati e-mail all’evento del calendario. Ciò significa che un allegato pericoloso, come un PDF o HTML dannoso, migra dal messaggio bloccato alla rubrica senza essere sottoposto a ulteriori analisi di sicurezza.

Strategie per l’abuso della fiducia e istruzioni contrastanti

Uno degli attacchi identificati mostra come i criminali utilizzano servizi legittimi per dare credibilità alla truffa. In questo caso, per programmare una teleconferenza è stata utilizzata FreeConferenceCall.com, una vera e propria piattaforma per riunioni virtuali.

• Il truffatore pianifica un incontro legittimo sul servizio, che genera l’invito standard con i dati di accesso.
• Nel corpo dell’e-mail è inserita una “istruzione contrastante”: un messaggio che chiede alla vittima di ignorare i dati automatici e chiamare un numero telefonico alternativo, controllato dal criminale.
• Il file di invito del calendario .ics viene generato con le informazioni dannose, garantendo che il numero falso raggiunga il calendario della vittima.
• La vittima, vedendo l’evento ufficiale nei giorni di calendario successivi, chiama il numero erientra direttamente nel phishing vocale.

Attacchi con codice QR e kit di phishing professionale

Altre tattiche rivelano l’investimento nella professionalità da parte degli aggressori. Un attacco minimalista utilizza un’e-mail quasi vuota, contenente solo un PDF allegato con un codice QR per il furto di credenziali.

Il PDF finge di essere un documento Docusign e ordina alla vittima di scansionare il codice QR con il proprio cellulare per “verificare il documento” o “firmare il contratto in sospeso”. Poiché l’allegato viene trasferito all’evento del calendario, la vittima può accedervi direttamente dal proprio calendario, mesi dopo che l’e-mail originale è stata eliminata. L’uso dei codici QR è strategico, poiché molti sistemi di sicurezza non ne analizzano il contenuto e l’azione su un telefono cellulare può aggirare le protezioni aziendali.

Un terzo esempio dimostra un’elevata sofisticazione. L’evento falso non solo sfrutta fattori psicologici come urgenza e paura di perdere (“Il tuo dominio azienda.com.br scade tra 48 ore”) ma blocca anche l’intera settimana nel calendario della vittima con il titolo “INTERRUZIONE DEL SERVIZIO”. Per aumentare la credibilità, l’elenco dei partecipanti all’evento include ospiti fittizi con nomi generici come “Amministratore” e “Supporto IT”, simulando il coinvolgimento di altre aree dell’azienda.

Il carico dannoso di questo attacco è un file HTML allegato che, una volta aperto, esegue un kit di phishing completo localmente sul computer della vittima, creando una falsa pagina di servizi di dominio Microsoft nella directory temporanea, che rende più difficile il rilevamento per i filtri di rete.

Misure di mitigazione per proteggere gli account aziendali

È essenziale che le aziende e gli utenti rivedano le impostazioni di sicurezza dei propri account. Puoi configurare Google Workspace e Microsoft 365 per bloccare gli inviti automatici, richiedendo la conferma dell’utente prima di creare l’evento del calendario.

Questa semplice modifica della configurazione è il modo più efficace per mitigare il rischio di phishing ICS, garantendo che l’evento dannoso non si materializzi nell’agenda anche se l’e-mail non viene completamente intercettata dal gateway di sicurezza. La consapevolezza dei dipendenti sulla natura dell’attacco è un complemento cruciale.

La falla di sicurezza sfruttata in ICS

Il successo del phishing tramite inviti di calendario è dovuto alla cecità dei sistemi di difesa rispetto al backend delle piattaforme di produttività. I criminali hanno sfruttato una scappatoia di cui la maggior parte delle aziende ignorava l’esistenza, trasformando uno strumento di produttività in un vettore di attacco persistente e difficile da rimuovere. È urgente adottare nuove strategie di sicurezza informatica che monitorino attivamente i servizi di calendario per neutralizzare questa minaccia in evoluzione.

Una nuova e sofisticata tecnica di attacco digitale consente ai criminali di inserire appuntamenti falsi, pieni di collegamenti e allegati dannosi, direttamente nei calendari degli utenti di Google Workspace e Microsoft 365. La tattica, chiamata ICS phishing, sfrutta la funzionalità di pianificazione automatica degli eventi via email, riuscendo a bypassare le barriere di sicurezza che normalmente bloccano i messaggi sospetti nella casella di posta.

Il meccanismo di difesa della posta elettronica può anche identificare il messaggio dannoso e mandarlo in quarantena, ma l’evento del calendario con tutto il contenuto della truffa è già stato creato e rimane nel calendario della vittima. Questa lacuna di sicurezza rappresenta un salto nel livello di sofisticazione degli attacchi, concentrandosi su un’area, il calendario, che le soluzioni di sicurezza tradizionali basate su API e i gateway non possono monitorare o risolvere in modo efficace dopo la creazione dell’evento.

Come funziona la truffa: dalla posta in arrivo al calendario

La vulnerabilità risiede nel modo in cui Google e Microsoft elaborano il formato .ics (Internet Calendar Scheduling), lo standard per gli inviti del calendario. Quando si riceve un’e-mail con questo file allegato, entrambe le piattaforme creano automaticamente l’evento nel calendario, senza richiedere alcuna conferma o clic da parte dell’utente, funzionalità pensata per facilitare la routine aziendale.

Il problema è aggravato dal fatto che la maggior parte delle soluzioni per la sicurezza della posta elettronica non sono in grado di rimuovere voci dannose già create nei calendari. Il messaggio originale può essere eliminato, ma la pianificazione rimane attiva.

In Microsoft 365 la situazione è particolarmente critica, poiché la piattaforma trasferisce automaticamente gli allegati e-mail all’evento del calendario. Ciò significa che un allegato pericoloso, come un PDF o HTML dannoso, migra dal messaggio bloccato alla rubrica senza essere sottoposto a ulteriori analisi di sicurezza.

Strategie per l’abuso della fiducia e istruzioni contrastanti

Uno degli attacchi identificati mostra come i criminali utilizzano servizi legittimi per dare credibilità alla truffa. In questo caso, per programmare una teleconferenza è stata utilizzata FreeConferenceCall.com, una vera e propria piattaforma per riunioni virtuali.

• Il truffatore pianifica un incontro legittimo sul servizio, che genera l’invito standard con i dati di accesso.
• Nel corpo dell’e-mail è inserita una “istruzione contrastante”: un messaggio che chiede alla vittima di ignorare i dati automatici e chiamare un numero telefonico alternativo, controllato dal criminale.
• Il file di invito del calendario .ics viene generato con le informazioni dannose, garantendo che il numero falso raggiunga il calendario della vittima.
• La vittima, vedendo l’evento ufficiale nei giorni di calendario successivi, chiama il numero erientra direttamente nel phishing vocale.

Attacchi con codice QR e kit di phishing professionale

Altre tattiche rivelano l’investimento nella professionalità da parte degli aggressori. Un attacco minimalista utilizza un’e-mail quasi vuota, contenente solo un PDF allegato con un codice QR per il furto di credenziali.

Il PDF finge di essere un documento Docusign e ordina alla vittima di scansionare il codice QR con il proprio cellulare per “verificare il documento” o “firmare il contratto in sospeso”. Poiché l’allegato viene trasferito all’evento del calendario, la vittima può accedervi direttamente dal proprio calendario, mesi dopo che l’e-mail originale è stata eliminata. L’uso dei codici QR è strategico, poiché molti sistemi di sicurezza non ne analizzano il contenuto e l’azione su un telefono cellulare può aggirare le protezioni aziendali.

Un terzo esempio dimostra un’elevata sofisticazione. L’evento falso non solo sfrutta fattori psicologici come urgenza e paura di perdere (“Il tuo dominio azienda.com.br scade tra 48 ore”) ma blocca anche l’intera settimana nel calendario della vittima con il titolo “INTERRUZIONE DEL SERVIZIO”. Per aumentare la credibilità, l’elenco dei partecipanti all’evento include ospiti fittizi con nomi generici come “Amministratore” e “Supporto IT”, simulando il coinvolgimento di altre aree dell’azienda.

Il carico dannoso di questo attacco è un file HTML allegato che, una volta aperto, esegue un kit di phishing completo localmente sul computer della vittima, creando una falsa pagina di servizi di dominio Microsoft nella directory temporanea, che rende più difficile il rilevamento per i filtri di rete.

Misure di mitigazione per proteggere gli account aziendali

È essenziale che le aziende e gli utenti rivedano le impostazioni di sicurezza dei propri account. Puoi configurare Google Workspace e Microsoft 365 per bloccare gli inviti automatici, richiedendo la conferma dell’utente prima di creare l’evento del calendario.

Questa semplice modifica della configurazione è il modo più efficace per mitigare il rischio di phishing ICS, garantendo che l’evento dannoso non si materializzi nell’agenda anche se l’e-mail non viene completamente intercettata dal gateway di sicurezza. La consapevolezza dei dipendenti sulla natura dell’attacco è un complemento cruciale.

La falla di sicurezza sfruttata in ICS

Il successo del phishing tramite inviti di calendario è dovuto alla cecità dei sistemi di difesa rispetto al backend delle piattaforme di produttività. I criminali hanno sfruttato una scappatoia di cui la maggior parte delle aziende ignorava l’esistenza, trasformando uno strumento di produttività in un vettore di attacco persistente e difficile da rimuovere. È urgente adottare nuove strategie di sicurezza informatica che monitorino attivamente i servizi di calendario per neutralizzare questa minaccia in evoluzione.