Phishing con inviti di Google Calendar ruba le sessioni e aggira l'MFA

Il 4 novembre 2026 BleepingComputer ha pubblicato la ricerca del gruppo di analisi di Material Security, azienda di sicurezza per la posta, su una campagna di phishing partita a metà agosto 2026. I messaggi arrivavano come inviti di Google Calendar e portavano a una falsa pagina di accesso a Google che catturava la sessione dell'utente, anche quando l'account aveva la verifica in due passaggi. Va detto che l'articolo è un contenuto sponsorizzato da Material Security, quindi i dati sono quelli dell'azienda che ha condotto l'analisi.

Come funzionava l'attacco

L'invito sembrava arrivare da un'organizzazione con cui la vittima era già in contatto: spesso il mittente era un account già compromesso, che scriveva ai contatti salvati. Tra i pretesti citati ci sono un messaggio vocale, una richiesta di offerta, una convocazione in tribunale e un pagamento mancato.

Il link passava dal sistema di reindirizzamento di Google e da una verifica di Cloudflare, quindi i filtri vedevano solo passaggi dall'aspetto regolare. La pagina finale non era un sito statico da analizzare: il browser la costruiva solo dopo la verifica. Dietro c'era un proxy che inoltrava a Google, in tempo reale, password e codici inseriti dalla vittima. Per questo SMS, app di autenticazione e conferma con numero non fermavano il furto: l'attaccante otteneva la sessione già autenticata.

Secondo Material, in un mese di monitoraggio sui propri clienti sono stati bloccati 68.676 messaggi e fatti chiudere 897 domini, con l'aiuto di Cloudflare. L'azienda scrive che la campagna sembra conclusa, ma che i temi delle esche si sono spostati verso inviti di condivisione di file su Google Drive. L'articolo non cita l'Italia: i dati riguardano solo la clientela di Material e non dicono quanto la campagna abbia toccato il nostro Paese.

Cosa cambia per te

Se in azienda usate Google Workspace o account Google per lavoro:

• Tratta l'invito come un link qualsiasi. Un invito di calendario inatteso, anche da un contatto noto, non è una conferma di affidabilità: prima di cliccare verifica con una telefonata o un altro canale.
• Guarda l'indirizzo della pagina di accesso prima di scrivere la password. Se ci sei arrivato da un invito o da un link, apri invece accounts.google.com a mano.
• Valuta chiavi di sicurezza o passkey per gli account più importanti: sono la difesa più solida contro i proxy che inoltrano i codici, perché legate al sito vero.
• Controlla i registri di accesso dell'amministrazione Google: sessioni da posizioni o dispositivi insoliti, regole di inoltro nuove, app autorizzate che non riconosci.
• Prepara la procedura di emergenza. Chi amministra gli account dovrebbe poter chiudere le sessioni, revocare le autorizzazioni alle app e reimpostare la password in tempi brevi, secondo l'indicazione di Material.
• Se hai cliccato e inserito i dati, cambia la password da un altro dispositivo, esci da tutte le sessioni e avvisa chi gestisce l'IT.

Per un quadro generale sui messaggi falsi leggi il nostro articolo sul phishing. Se vuoi far verificare le impostazioni degli account e la protezione della posta in azienda, trovi i dettagli in Reti e sicurezza e in Assistenza aziendale.