Truffa del calendario, come funziona e a cosa bisogna fare attenzione

Truffa del calendario, un nuovo raggiro sta inquietando gli italiani: ecco come funziona e la trappola da evitare

Capita di aprire lo smartphone e di trovare la notifica di un appuntamento mai fissato. Può sembrare una semplice distrazione, senz’altro, ma non è così perché negli ultimi giorni si sta facendo largo la cosiddetta truffa del calendario, un nuovo raggiro informatico studiato per derubare gli utenti. Questa volta nel mirino dei malviventi c’è l’agenda, sia sui dispositivi Android sia sugli iPhone, e il rischio è alto perché la truffa si presenta in una forma molto diversa dal solito: ecco come funziona, come riportato da Libero.it.

Come funziona la truffa

Non si tratta del classico phishing via email o degli SMS truffaldini, noti come smishing. Il raggiro sfrutta le impostazioni automatiche di Google Calendar e Apple Calendar, che di norma sono configurati per inserire in agenda qualsiasi invito ricevuto via email in formato iCalendar, anche se arriva da mittenti sconosciuti. I criminali usano proprio questo automatismo per scavalcare con facilità i filtri antispam delle caselle di posta: il messaggio non viene bloccato e l’evento finisce direttamente tra gli impegni. All’orario deciso dai truffatori, il sistema operativo genera una notifica push con priorità che crea allarme tra una riunione, una visita medica e altri appuntamenti importanti.

A cosa bisogna fare attenzione

Il rischio principale è cliccare sull’evento. Può contenere un link che porta a una pagina clone della propria banca, spesso con la scusa di un “addebito non autorizzato” o di una “verifica di sicurezza”: se si inseriscono username, password, e soprattutto i codici OTP, i truffatori accedono al conto in tempo reale e possono disporre bonifici istantanei, svuotando i fondi. L’evento può anche riportare un numero di telefono presentato come contatto d’urgenza. La chiamata, falsa, può comportare addebiti salatissimi sul credito oppure mettere in contatto con un finto operatore che, con tecniche di vishing, cioè phishing vocale, simula controlli antifrode per farsi dare a voce i dati riservati. Su iPhone c’è un’insidia in più: cliccare “rifiuta” fa partire una risposta automatica al mittente, che così capisce che la casella email è attiva e può usarla per nuovi attacchi. La regola è semplice: davanti a un invito sospetto non cliccare né “accetta” né “rifiuta”.

Come difendersi

Su Google Calendar, dalla versione desktop nel browser, basta aprire le Impostazioni, scegliere “Impostazioni evento” e alla voce “Aggiungi inviti ai miei calendari” selezionare “Solo se il mittente è noto” oppure “Solo se rispondo all’invito”: così nessun mittente sconosciuto potrà inserire eventi. Su iPhone bisogna aprire le Impostazioni di iOS, entrare in “Calendario”, poi in “Account” e controllare i calendari sottoscritti, eliminando subito profili anomali o iscrizioni indesiderate.