Il calendario del cellulare a rischio truffe come le email: cos’è il Calendar Phishing e come difendersi

Aprire il calendario dello smartphone e trovare un appuntamento che non si ricorda di aver mai fissato, potrebbe essere una riunione urgente o una comunicazione relativa a un pagamento. Dietro quella notifica potrebbe però nascondersi un tentativo di truffa informatica: si chiama Calendar Phishing, conosciuto anche come Calphishing, ed è una tecnica che sfrutta gli inviti agli eventi per indurre le potenziali vittime a visitare pagine fraudolente, condividere informazioni riservate o scaricare software dannosi.

Il Calendar Phishing: la nuova truffa digitale

Il fenomeno interessa gli utenti di diversi servizi di calendario digitali, tra cui Google Calendar e Apple Calendar, ed è in forte crescita. Secondo i ricercatori di Sublime Security, piattaforma di sicurezza della posta elettronica, gli attacchi monitorati dall’azienda sono aumentati del 1.216% nell’agosto 2026 rispetto a luglio, dati che evidenziano la crescente diffusione di questa tecnica.

Cos’è e a cosa fare attenzione

Il meccanismo sfrutta gli inviti digitali, spesso distribuiti attraverso file in formato iCalendar (.ics), utilizzati normalmente per condividere appuntamenti tra differenti applicazioni. In base alle impostazioni del servizio, un invito può comparire direttamente nel calendario del destinatario anche prima che venga accettato. È proprio su questa possibilità che fanno leva i criminali informatici, che possono raggiungere gli utenti senza necessariamente convincerli ad aprire l’e-mail originale, come ha spiegato Luke Wescott, ingegnere specializzato nel rilevamento delle minacce presso Sublime Security.

Il comportamento dipende comunque dalle impostazioni dell’account. A rendere l’inganno più efficace è soprattutto il contesto: un appuntamento sospetto che compare accanto a una visita medica o a una riunione di lavoro può sembrare meno preoccupante rispetto a un’e-mail proveniente da un mittente sconosciuto. I truffatori possono inoltre utilizzare piattaforme come Zoom per rendere gli inviti più credibili.

Dal falso appuntamento al furto di dati e credenziali

L’evento fraudolento può contenere un collegamento a una pagina web contraffatta, un allegato da scaricare oppure un numero telefonico da contattare. Tra le esche più utilizzate ci sono le false notifiche di pagamento e gli avvisi relativi a presunti accessi sospetti o problemi di sicurezza.

Il link può condurre a una pagina che imita il sito ufficiale di una banca o di un servizio conosciuto, chiedendo all’utente di inserire username, password e codici di autorizzazione per effettuare una verifica. Le informazioni raccolte possono essere utilizzate per compromettere gli account e tentare operazioni finanziarie non autorizzate. Il rischio, tuttavia, non riguarda soltanto le credenziali.

Alcune campagne analizzate da Sublime Security hanno sfruttato gli inviti di Google Calendar per distribuire software di accesso remoto come ScreenConnect, uno strumento legittimo che, se utilizzato in modo malevolo, può consentire ai criminali di controllare un dispositivo a distanza. Altri tentativi prevedono invece l’invito a telefonare a un presunto servizio di assistenza per contestare un pagamento o bloccare un addebito.

Si parla in questo caso di vishing, una forma di phishing vocale che sfrutta la manipolazione psicologica per ottenere informazioni riservate. La semplice comparsa di un appuntamento sospetto non significa comunque che il dispositivo sia già stato compromesso: il pericolo aumenta quando si interagisce con i contenuti fraudolenti.

Come difendersi su Android e iPhone

La prima precauzione consiste nel non fidarsi degli appuntamenti che non si ricorda di aver fissato, soprattutto quando contengono richieste di pagamento, collegamenti esterni o riferimenti a presunti problemi bancari. Per ridurre il rischio è utile modificare le impostazioni del calendario, limitando l’inserimento automatico degli inviti.

Su Google Calendar è possibile accedere alle Impostazioni, selezionare Impostazioni eventi e individuare la voce relativa all’aggiunta degli inviti nel proprio calendario. Tra le opzioni disponibili si può scegliere di aggiungere automaticamente soltanto quelli provenienti da mittenti conosciuti oppure di inserire gli eventi esclusivamente dopo aver risposto all’invito tramite e-mail.

Chi utilizza un iPhone dovrebbe invece controllare periodicamente gli account e i calendari sincronizzati, eliminando eventuali iscrizioni sconosciute o sospette. Apple mette inoltre a disposizione funzioni per cancellare gli eventi indesiderati e, quando disponibile, segnalarli come spam direttamente dall’app Calendario. Le procedure possono variare in base alla versione del sistema operativo e dell’applicazione.

Cosa fare quando si riceve un invito sospetto

Se si individua un appuntamento sospetto, è preferibile non interagire con il mittente, evitando di accettare o rifiutare l’invito e di utilizzare i collegamenti o i numeri telefonici presenti nella descrizione. Alcune risposte, infatti, possono confermare ai truffatori che l’indirizzo e-mail è attivo.

È meglio utilizzare le funzioni di segnalazione come spam o posta indesiderata e successivamente eliminare l’evento, verificando che sia scomparso anche dagli altri dispositivi sincronizzati. Se la comunicazione sembra provenire dalla propria banca o da un servizio conosciuto, qualsiasi verifica deve essere effettuata attraverso i canali ufficiali, accedendo autonomamente all’applicazione o digitando direttamente l’indirizzo del sito.

Il Calendar Phishing dimostra come anche gli strumenti digitali più comuni possano trasformarsi in veicoli per le truffe informatiche. Per questo motivo, il calendario merita la stessa attenzione riservata alla posta elettronica perché un appuntamento visualizzato sullo smartphone non è necessariamente un appuntamento affidabile da dover prendere in considerazione.