Le campagne di phishing stanno sfruttando un elemento apparentemente innocuo della comunicazione aziendale: gli inviti di calendario.
Secondo una recente analisi pubblicata da Check Point, i criminali informatici starebbero utilizzando finte convocazioni a riunioni per sottrarre le credenziali degli account Microsoft, facendo leva sulla fiducia che dipendenti e collaboratori ripongono nelle notifiche di appuntamento.
L’aspetto più significativo è che l’attacco non richiede necessariamente l’esecuzione di malware né lo sfruttamento di una vulnerabilità software. La tecnica si basa esclusivamente sull’abuso di funzionalità legittime dei calendari digitali e sulla capacità di convincere l’utente a inserire le proprie credenziali in una pagina controllata dagli attaccanti.
I ricercatori di Check Point che hanno osservato un aumento significativo dell’attività a partire dal 25 settembre 2026 avrebbero identificato oltre 302.386 e-mail di phishing uniche, distribuite verso più di 40.000 organizzazioni.
I messaggi sarebbero stati inviati utilizzando oltre 33.890 domini mittenti differenti e più di 247.270 indirizzi e-mail unici, una varietà che rende più complessa l’individuazione delle comunicazioni malevole basata esclusivamente su mittenti o domini già conosciuti.
L’intensità dell’attività è continuata a crescere rapidamente anche nel corso delle prime due settimane di ottobre. Check Point avrebbe rilevato oltre 740.000 e-mail legate alla campagna, con un picco di quasi 200.000 messaggi nella sola giornata dell’8 ottobre. Si tratterebbe, dunque, di un fenomeno in aumento, non di un episodio isolato.
Indice degli argomenti
I file calendario .ics come veicolo del phishing
Una delle campagne individuate consiste nell’invio di inviti contenenti allegati con estensione .ics, un formato standard utilizzato per condividere appuntamenti e informazioni sugli eventi tra applicazioni di calendario.
Poiché il file può essere formalmente valido e venire interpretato correttamente dal software, il problema non risiede in un documento corrotto o in una vulnerabilità dell’applicazione, ma nel contenuto dell’invito e nei collegamenti inseriti al suo interno.
Fonte: Check Point.
Questa caratteristica rende la tecnica più insidiosa. Un invito può apparire come una normale comunicazione di lavoro e finire nel flusso quotidiano delle attività senza suscitare particolari sospetti.
Se l’utente apre l’evento e segue il collegamento proposto, può essere indirizzato verso una pagina progettata per raccogliere username e password dell’account aziendale.
La falsa riunione Microsoft Teams
Un’altra variante delle campagna individuate dai ricercatori utilizza invece inviti che simulano riunioni Microsoft Teams. In questo caso il messaggio presenta un collegamento per partecipare all’incontro, apparentemente coerente con il servizio utilizzato nell’ambiente di lavoro.
La destinazione effettiva, tuttavia, risulta diversa da quella suggerita dal testo visibile. Check Point mostra un esempio nel quale il collegamento, associato a un falso invito ad una riunione e camuffato da pagina di accesso Microsoft nell’indirizzo di destinazione, conduce a una pagina di raccolta delle credenziali, dimostrando come il richiamo al dominio Microsoft non deve essere interpretato, da solo, come prova di legittimità.
Fonte: Check Point.
L’obiettivo è sfruttare la familiarità con gli strumenti di collaborazione aziendale. Gli utenti sono abituati a ricevere convocazioni, notifiche e richieste di accesso durante la giornata lavorativa.
Un invito apparentemente ordinario può quindi ridurre la soglia di attenzione e indurre a effettuare il login senza verificare attentamente il contesto.
Perché il furto delle credenziali è pericoloso
La sottrazione delle credenziali Microsoft può rappresentare il punto di partenza per compromettere ulteriormente un ambiente aziendale. A seconda dei privilegi dell’account e delle protezioni presenti, un accesso illecito può esporre caselle di posta, documenti condivisi e servizi di collaborazione.
Un account compromesso può, inoltre, essere sfruttato per inviare ulteriori messaggi fraudolenti a colleghi, clienti o partner, rendendo le comunicazioni successive più credibili perché provengono da un’identità legittima. La compromissione iniziale può così favorire campagne mirate, frodi e accessi non autorizzati ad altre risorse aziendali.
La campagna descritta da Check Point evidenzia come gli attaccanti non debbano necessariamente sviluppare tecniche particolarmente complesse per ottenere risultati significativi. L’abuso di strumenti quotidiani e la manipolazione della fiducia degli utenti possono essere sufficienti per costruire operazioni su larga scala.
Pertanto,la difesa richiede sia controlli tecnici che attenzione da parte degli utenti. Gli inviti inattesi, soprattutto quando contengono collegamenti per autenticarsi o richieste urgenti, devono essere verificati prima di qualsiasi interazione.
È opportuno controllare la destinazione reale dei link e confermare l’esistenza della riunione attraverso un canale indipendente.
Sul piano organizzativo, è importante rafforzare l’autenticazione multifattore, preferendo metodi resistenti al phishing quando disponibili, e monitorare gli accessi anomali agli account.I sistemi di sicurezza della posta elettronica dovrebbero inoltre considerare anche il contenuto degli inviti e dei relativi collegamenti, senza limitare l’analisi ai soli allegati eseguibili o ai domini già segnalati.
La sicurezza deve quindi estendersi a tutti i canali di comunicazione utilizzati nel lavoro quotidiano, compresi quelli che gli utenti tendono a considerare automaticamente affidabili.
Partecipa alla community