Attenzione: Google Calendar Usato per Rubare Account con MFA Attiva in Nuove Campagne Phishing

Nel panorama in continua evoluzione delle minacce informatiche, i cybercriminali affinano costantemente le loro tecniche per aggirare le difese e sottrarre dati sensibili. Una recente campagna di phishing ha sollevato un allarme significativo, rivelando come Google Calendar venga usato per rubare account anche con MFA attiva. Questa tecnica sofisticata sfrutta la fiducia degli utenti e infrastrutture legittime per intercettare sessioni autenticate, ponendo una seria minaccia anche per chi utilizza l’autenticazione a più fattori (MFA).

La Nuova Minaccia: Google Calendar Come Cavallo di Troia

Tradizionalmente, gli attacchi di phishing si basano su email false e siti web malevoli. Questa nuova ondata, tuttavia, si distingue per l’ingegno con cui mimetizza l’attacco. I malintenzionati sfruttano gli inviti di Google Calendar per avviare la catena di infezione. Un invito inaspettato, apparentemente innocuo, può nascondere un collegamento pericoloso, difficile da identificare a prima vista.

L’elemento chiave di questa campagna è la capacità di bypassare l’MFA, non intaccando direttamente il processo di autenticazione, ma rubando la sessione dopo che l’utente si è autenticato con successo. Ciò significa che anche con le tue difese MFA attive, sei potenzialmente a rischio se cadi nella trappola.

Come Funziona l’Attacco Phishing con Google Calendar

La tecnica impiegata è complessa e multistrato, progettata per ingannare sia gli utenti che i sistemi di sicurezza:

1. L’Esca: Inviti di Google Calendar Indesiderati

Tutto inizia con un invito a un evento di Google Calendar. Questi inviti possono apparire legittimi, magari con nomi di eventi generici o che sembrano provenire da una fonte attendibile. La descrizione dell’evento o il campo della località contengono un URL malevolo. La natura stessa di Google Calendar, che spesso aggiunge automaticamente eventi a cui si è invitati, rende questo approccio particolarmente insidioso, in quanto l’utente potrebbe non notare immediatamente la provenienza sospetta.

2. Sfruttamento di Redirect Legittimi

Cliccando sul link nell’invito, l’utente viene reindirizzato attraverso una serie di URL legittimi, spesso appartenenti a servizi noti e affidabili. Questo passaggio è cruciale perché elude i controlli di sicurezza che potrebbero bloccare un link diretto a un sito di phishing. I servizi legittimi fungono da ponte, nascondendo la destinazione finale malevola e conferendo un’aura di credibilità all’intero processo.

3. Il Proxy Malevolo e il Furto di Sessione

Alla fine della catena di reindirizzamenti, l’utente atterra su un sito di phishing mascherato da pagina di login legittima (ad esempio, di Google o di un altro servizio popolare). Questo sito è in realtà un reverse proxy controllato dagli attaccanti. Quando l’utente inserisce le proprie credenziali – e completa l’MFA – il proxy intercetta queste informazioni e le inoltra al servizio autentico.

Nel momento in cui il servizio legittimo risponde con il token di sessione autenticato, il proxy malevolo lo cattura. Invece di passarlo all’utente, lo ruba e lo utilizza per creare una sessione parallela. In questo modo, i criminali ottengono l’accesso al tuo account, avendo di fatto dirottato la tua sessione autenticata, rendendo il furto di account possibile anche con MFA attiva.

Perché Questa Tecnica è Così Efficace

• Abuso di Infrastrutture Legittime: Utilizzare Google Calendar e redirect di servizi noti rende difficile per i sistemi di sicurezza e gli utenti distinguere il traffico malevolo da quello legittimo.
• Bypass dell’MFA Post-Autenticazione: L’MFA è efficace per proteggere il processo di login iniziale. Tuttavia, se la sessione viene rubata dopo l’autenticazione, l’MFA diventa inutile.
• Familiarità dell’Interfaccia: Le pagine di phishing sono quasi indistinguibili dalle loro controparti legittime, rendendo l’inganno molto convincente.

Come Ridurre i Rischi e Proteggere i Tuoi Account

Di fronte a minacce così sofisticate, è fondamentale adottare misure proattive:

1. Attenzione ai Dettagli degli Inviti

Sii sempre sospettoso degli inviti di Google Calendar inaspettati, specialmente se contengono link. Verifica la fonte dell’invito e il contenuto prima di cliccare su qualsiasi collegamento. In caso di dubbio, elimina l’evento.

2. Adotta le Passkey

Le Passkey rappresentano un significativo passo avanti nella sicurezza. Essendo un metodo di autenticazione crittograficamente robusto e legato al dispositivo, le Passkey sono intrinsecamente resistenti agli attacchi di phishing. Poiché non si basano su credenziali condivisibili o token di sessione che possono essere intercettati, eliminano quasi completamente il rischio di furto di account tramite tecniche di