Come riconoscere un'email falsa (e difendersi dal phishing prima che sia troppo tardi)

​Ogni giorno la nostra casella di posta elettronica viene invasa da decine di messaggi. Tra newsletter, notifiche di lavoro e fatture, si nascondono però insidie pericolose: le email di phishing.

​Con l'evoluzione degli strumenti digitali e l'uso dell'intelligenza artificiale, le truffe sono diventate incredibilmente sofisticate. Saperle riconoscere in pochi secondi è la prima e più efficace linea di difesa.

​1. Guarda oltre il nome del mittente

​I truffatori sanno bene come camuffarsi. Possono impostare il nome visualizzato del mittente come "INPS", "Poste Italiane" o "Netflix".

La regola d'oro è verificare sempre l'indirizzo email reale (cliccando o toccando sul nome del mittente). Se la comunicazione ufficiale della tua banca arriva da domini strani, stringhe di numeri o servizi di posta gratuiti, sei di fronte a un tentativo di frode.

​2. Attento alla "trappola dell'urgenza"

​Le email truffaldine mirano a metterti in agitazione. Usano toni allarmistici:

• ​"Il tuo conto è stato temporaneamente bloccato!"

• ​"Risulta un pagamento non autorizzato, clicca qui per verificare."

• ​"Hai un rimborso in sospeso, scade oggi!"

​Le aziende serie non ti chiederanno mai di inserire dati sensibili o credenziali d'accesso cliccando su un link rapido inviato via email a causa di un'emergenza improvvisa.

​3. L'analisi dei link (la prova del nove)

​Prima di cliccare su qualsiasi pulsante (come "Accedi ora", "Aggiorna i tuoi dati" o "Segui la spedizione"), fai una prova senza cliccare:

• ​Da computer: Passa il puntatore del mouse sopra il link e guarda in basso a sinistra nella finestra del browser per leggere l'indirizzo web di destinazione.

• ​Da smartphone: Tieni premuto a lungo sul link per far apparire il riquadro di anteprima dell'URL.

​Se l'indirizzo punta a un sito web sconosciuto, bizzarro o privo del protocollo di sicurezza ufficiale del brand, chiudi immediatamente il messaggio.

​4. Errori di grammatica e traduzioni grossolane

​Molte truffe internazionali vengono traduate in italiano con traduttori automatici. Sintassi rigida, parole fuori contesto, assenza di accenti corretti o un mix anomalo tra il "tu" e il "Lei" sono indizi quasi infallibili di un testo scritto da truffatori.

​Cosa fare se ricevi un'email sospetta?

• ​Non cliccare su nulla e non scaricare nessun allegato.

• ​Non rispondere al messaggio.

• ​Verifica in autonomia: Se hai il dubbio che ci sia un problema reale con un tuo account (es. la banca o il corriere), apri il browser, digita manualmente l'indirizzo ufficiale del servizio o usa l'app dedicata ed entra nella tua area riservata.

• ​Segnala e cestina: Segnala l'email come spam/phishing e cancellala definitivamente.

​

La sicurezza informatica parte prima di tutto dalla consapevolezza: un attimo di attenzione in più oggi ti evita grossi grattacapi domani.

La caduta di Jensen Huang: quando lo spionaggio industriale e l'ingegneria sociale colpiscono al cuore dell'AI

​Siamo abituati a pensare alla sicurezza informatica in termini di firewall, crittografia end-to-end, patch di sistema e vulnerabilità zero-day. Eppure, la storia che nelle ultime ore sta travolgendo Nvidia – l'azienda simbolo della rivoluzione dell'intelligenza artificiale – ci ricorda una verità tanto antica quanto scomoda: l'anello più debole di qualsiasi infrastruttura critica resta sempre il fattore umano.

​Quella che si sta consumando ai vertici del colosso di Santa Clara non è solo una vicenda di cronaca finanziaria o di gossip aziendale, ma una vera e propria spy story geopolitica con risvolti pesantissimi sulla sicurezza nazionale e sul controllo delle tecnologie strategiche.

​L'anatomia dello scandalo

​Tutto ruota attorno a Jensen Huang, il carismatico CEO e co-fondatore che ha trasformato un produttore di schede grafiche nell'azienda più preziosa al mondo. Nelle ultime settimane, un'inchiesta esplosiva del New York Times ha svelato un intreccio che sembra uscito da un romanzo di John le Carré:

​1. La pista dello spionaggio e i chip proibiti: Secondo l'intelligence statunitense, Huang avrebbe intrattenuto una relazione extraconiugale con Alice Huang (nessuna parentela), ex dirigente di Megaspeed, società con sede a Singapore e importante cliente di Nvidia. Le autorità federali sospettano che la donna operasse per conto dell'intelligence di Pechino, con l'obiettivo di aggirare le rigide sanzioni USA ed esportare illegalmente chip AI di fascia alta verso la Cina.

​2. La crepa nella governance: L'8 novembre, messo alle strette dalle indagini interne avviate dal Consiglio di Amministrazione, il CEO ha inviato una lettera ai dipendenti ammettendo l'infedeltà e chiedendo scusa alla famiglia. Ma la tempesta non si è fermata: l'11 novembre un secondo scoop ha rivelato un'altra relazione interna con una dirigente di alto livello dell'azienda (Kimberly Powell, VP of Healthcare).

​3. Il terremoto sui mercati: La combinazione tra il potenziale compromesso di sicurezza nazionale, la violazione delle policy interne e il rischio di conflitto d'interessi ha innescato il panico. Il titolo Nvidia ha bruciato miliardi nell'after-hours, gli azionisti hanno avviato una class action e il CdA starebbe già preparando il piano per sostituire il suo fondatore storico.

​La lezione di sicurezza: l'HUMINT batte il codice

​Dal punto di vista di chi si occupa di tecnologia e protezione dei dati, il caso Nvidia offre spunti di riflessione fondamentali.

​Nel mondo della sicurezza informatica e dell'intelligence si parla di HUMINT (Human Intelligence): la raccolta di informazioni e l'influenza esercitata attraverso contatti interpersonali diretti. Quando un'organizzazione blinda i propri server contro gli attacchi hacker provenienti dall'esterno, gli attori statali cambiano vettore d'attacco. Non cercano di bucare il database dei progetti dei chip Blackwell o Rubin; puntano direttamente a chi ha le chiavi della stanza dei bottoni.

​Le cosiddette honey trap (trappole al miele) non sono reliquie della Guerra Fredda: nell'era della corsa agli armamenti sull'Intelligenza Artificiale, dove il possesso della potenza di calcolo equivale alla supremazia militare ed economica, la vita privata dei dirigenti apicali diventa un obiettivo primario di sicurezza nazionale.

​Cosa succede ora?

​Al di là del destino personale di Jensen Huang, questa vicenda segna uno spartiacque per l'intera Silicon Valley. Le aziende tech non sono più semplici imprese commerciali: sono asset strategici al centro di uno scontro geopolitico globale.

​E mentre gli avvocati e gli analisti finanziari fanno i conti con le conseguenze di questo terremoto, resta una certezza per tutti noi che lavoriamo nel mondo IT: puoi costruire l'architettura hardware più avanzata del pianeta, ma basta una vulnerabilità nella sfera personale per mettere a rischio l'intero sistema.

​L'«Sms della morte» che manda in tilt gli smartphone Android

Le vulnerabilità legate alla ricezione di stringhe di dati anomale o caratteri speciali non sono una novità nel panorama mobile, ma continuano a rappresentare un'insidia concreta per la stabilità dei dispositivi. Quando si parla di «SMS della morte», ci si riferisce a particolari sequenze di caratteri o codifiche Unicode che, una volta ricevute e elaborate dall'applicazione di messaggistica predefinita di Android, mandano in crash il sistema operativo o bloccano il telefono in un riavvio continuo (bootloop).

​Come funziona il problema

Il vettore d'attacco sfrutta quasi sempre un difetto di gestione delle notifiche o del rendering del testo all'interno dell'interfaccia utente (UI) o del framework di sistema.

- ​Parsing errato: Quando il sistema riceve il messaggio, tenta di interpretarlo per mostrarlo a schermo o generare la notifica.

- ​Saturation / Crash: Sequenze specifiche di caratteri Unicode complessi, combinazioni di lingue non latine o stringhe binarie non gestite correttamente causano un errore di memoria o un'eccezione non gestita nel demone di sistema (spesso legato ai servizi di telefonia o ai Google Play Services).

- ​Il Loop: Poiché l'app di messaggistica o il sistema operazione tentano di ricaricare l'ultimo messaggio ricevuto subito dopo il riavvio, il telefono si ritrova intrappolato in un ciclo continuo di crash e reboot.

​I precedenti storici su Android

​Negli anni, diverse varianti di questo problema hanno interessato varie versioni di Android:

​

1. La stringa Unicode del 2015 (Android 5.1): Un mix di caratteri arabi, telugu e simboli speciali che causava il crash immediato di WhatsApp e dell'intera interfaccia se ricevuto tramite notifica.

2. ​Il bug del carattere Telugu (2018): Un singolo carattere della lingua Telugu (India) inviato tramite qualsiasi app di messaggistica (inclusi Telegram, Messenger e SMS) mandava in blocco il processo di rendering (libgui), costringendo gli utenti a cancellare la chat incriminata da recovery mode o via ADB.

3. ​Le varianti basate su vCard o stringhe binarie: File di contatto corrotti inviati via SMS che saturavano il buffer della rubrica o dei messaggi.

​Come difendersi e cosa fare in caso di contagio

​Sebbene i produttori e Google rilascino rapidamente patch di sicurezza mensili per chiudere queste falle alla radice, il rischio zero non esiste, soprattutto sui dispositivi più datati che non ricevono più aggiornamenti.

- ​Non aprire link o messaggi sospetti: Se ricevi SMS da mittenti sconosciuti contenenti stringhe illeggibili, simboli bizzarri o formati anomali, evita di espandere la notifica.

- ​Disattiva l'anteprima delle notifiche: Impedire che il testo dei messaggi compaia nella schermata di sblocco (Lock Screen) riduce drasticamente la probabilità che il sistema elabori il payload dannoso prima del tuo intervento.

​Come risolvere il blocco (Bootloop): Se il telefono è già caduto nel loop di riavvio:

1. ​Spegni il dispositivo (se possibile) e accedi alla Recovery Mode (combinazione di tasti Volume Giù/Su + Accensione a seconda del produttore).

2. ​Se riesci ad avviare in Modalità Provvisoria (Safe Mode), disinstalla o cancella i dati dell'applicazione di messaggistica che ha ricevuto il file.

3. ​Nei casi più gravi, l'unica soluzione per ripristinare la funzionalità del terminale è un Factory Reset (cancellazione totale dei dati).

​La sicurezza informatica passa anche dalla resilienza dei protocolli di base: finché i sistemi di codifica dei caratteri non saranno immuni a questi "straripamenti" logici, la prudenza nella gestione dei messaggi in arrivo resta la prima linea di difesa.

Attenzione alla nuova truffa dello SPID: come difendersi dai falsi SMS e dalle email trappola

​Negli ultimi mesi le segnalazioni di tentativi di phishing legati allo SPID (Sistema Pubblico di Identità Digitale) sono aumentate drasticamente. I truffatori non puntano più solo ai dati bancari tradizionali, ma alla chiave d'accesso primaria ai servizi della Pubblica Amministrazione.

​Capire come operano è il primo passo per evitare di consegnare spontaneamente le proprie credenziali nelle mani sbagliate.

​

Come funziona la trappola

​La truffa inizia quasi sempre allo stesso modo, sfruttando la tecnica dello smishing (phishing via SMS) o dell'email marketing ingannevole:

1. ​Il messaggio allarmante: Ricevi un SMS o un'email che sembra provenire direttamente dal tuo identity provider (PosteID, Aruba, Lepida, InfoCert, ecc.) o da enti istituzionali come l'Agenzia delle Entrate o l'INPS.

2. ​Il pretesto dell'urgenza: Il testo avvisa di un problema imminente: "Il tuo SPID è stato sospeso per anomalie di sicurezza", "È necessario un aggiornamento obbligatorio dei dati" oppure "I servizi INPS sono bloccati, clicca qui per riattivarli".

3. ​Il link fraudolento: All'interno del messaggio è presente un link che rimanda a una pagina web quasi identica a quella ufficiale del gestore o del portale pubblico.

4. ​Il furto delle credenziali: Una volta aperta la pagina fake, l'utente viene invitato a inserire nome utente, password, codice OTP (One Time Password) o ad autorizzare l'accesso tramite app. In quel preciso istante, i criminali informatici catturano i dati in tempo reale e prendono il controllo dell'identità digitale.

​Il nodo critico: la confusione sui gestori e i tentativi di duplicazione

​Un'altra anomalia molto frequente, spesso sfruttata dai malintenzionati per confondere gli utenti, riguarda la gestione del proprio codice fiscale in relazione ai vari Identity Provider.

​È bene ricordare che con lo stesso codice fiscale non è possibile creare più SPID presso lo stesso fornitore, né tantomeno avere più identità attive contemporaneamente con lo stesso operatore. Sebbene il sistema normativo permetta teoricamente di registrarsi presso gestori differenti usando sempre la stessa anagrafica, farlo è del tutto inutile e rischioso:

- ​Avere più SPID attivi su gestori diversi complica inutilmente la gestione di password, scadenze e rinnovi.

- ​Nel marasma dei tentativi di phishing, i truffatori giocano proprio su questa confusione, facendo leva su presunti blocchi o conflitti di identità per spingere l'utente a cliccare su link fraudolenti con la scusa di "sbloccare" o "allineare" il proprio profilo.

​Ricorda: lo SPID è unico nella sua funzione. Indipendentemente da quale gestore tu abbia scelto, quell'unica identità digitale apre le porte a tutti i servizi della Pubblica Amministrazione.

​I rischi concreti

▪︎ ​Avere accesso allo SPID di un cittadino significa poter agire legalmente al suo posto in una marea di contesti critici:

​▪︎ Accedere a cassetti fiscali e dati patrimoniali.

​Richiedere prestiti o finanziamenti online a nome della vittima.

• ​Accedere a bonus, sussidi o prestazioni sociali indebitamente.

▪︎ ​Sfruttare l'identità compromessa per compiere ulteriori reati telematici.

​Regole d'oro per non cascarci

• ​Nessun ente chiede le credenziali via SMS: Nessun gestore di identità digitale o amministrazione pubblica chiederà mai via SMS, telefono o link diretto di inserire la password o il codice di sblocco per "verificare" o "sbloccare" l'account.

​• Controlla sempre l'URL: Prima di inserire qualsiasi dato, verifica la barra degli indirizzi del browser. I siti ufficiali utilizzano domini istituzionali verificati (es. finisce con .gov.it o appartiene al dominio ufficiale del gestore accreditato AgID). I siti civetta usano spesso domini strani, con errori di battitura o estensioni insolite.

• ​Non cliccare sui link nei messaggi: Se ricevi un avviso di sicurezza, chiudi il messaggio, apri autonomamente il browser, digita l'indirizzo ufficiale del tuo provider SPID o accedi tramite l'app ufficiale che usi di solito.

​• Usa l'autenticazione a due fattori con attenzione: Non autorizzare mai richieste di accesso (notifiche push sull'app) se non sei stato tu in quel preciso istante ad avviare la procedura di login da un computer o un altro dispositivo.

​Hai mai ricevuto un SMS sospetto di questo tipo o hai notato anomalie nei tuoi accessi? La prudenziale verifica periodica dei registri di accesso sul proprio portale SPID è un'ottima abitudine di sicurezza informatica.

​Il maxi-attacco a Binance: 6,3 miliardi di dollari sottratti nel più grande furto informatico della storia

​Il settore della sicurezza informatica e delle criptovalute ha registrato un nuovo, drammatico record negativo. Tra il 29 e il 30 ottobre 2026, Binance, il più grande exchange di criptovalute al mondo, ha subito una gravissima violazione dei propri sistemi che ha portato al prelievo non autorizzato di circa 6,3 miliardi di dollari in asset digitali. 

​Si tratta, a tutti gli effetti, del più grande furto informatico e finanziario mai registrato nella storia della tecnologia e della finanza decentralizzata (e non). 

​La dinamica: come è avvenuto l'attacco?

​Secondo i primi riscontri tecnici e le analisi condotte dalle principali società di blockchain intelligence (come Chainalysis e TRM Labs), l'infrastruttura è stata compromessa attraverso un'operazione sofisticata. 

​L'intrusione iniziale avrebbe sfruttato il terminale di un ingegnere DevOps, i cui accessi sono stati compromessi tramite tecniche avanzate di social engineering (spesso associate a campagne di finte opportunità professionali o test di codice). Gli attaccanti sono riusciti a penetrare in un container di servizio, aggirando i livelli di controllo e orchestrando l'estrazione di fondi da ben dieci blockchain differenti in una finestra temporale rapidissima, stimata in circa venti minuti.

​I principali report investigativi e le valutazioni preliminari delle autorità puntano il dito contro gruppi di hacker sponsorizzati da stati esteri, in particolare cellule legate alla Corea del Nord (come il collettivo TraderTraitor / Lazarus Group), già tristemente note per colpi multimilionari ai danni di piattaforme crypto negli ultimi anni. 

​La risposta dell'ecosistema e il congelamento dei fondi

​La reazione all'incidente è stata immediata su scala globale: 

• ​Sospensione dei servizi: Binance ha prontamente bloccato i prelievi e le operazioni per isolare i sistemi compromessi ed effettuare un audit di sicurezza completo.

• ​Cooperazione on-chain: Grazie alla collaborazione tempestiva tra l'exchange, le forze dell'ordine internazionali e i principali emittenti di stablecoin (come Tether e Circle), è stato possibile attivare i meccanismi di blocco dei token. Al momento, circa 3 miliardi di dollari in stablecoin e asset tracciabili sono stati congelati direttamente sulla blockchain, impedendo agli hacker di monetizzarli. 

​Copertura delle perdite e impatto per gli utenti

​Una delle principali preoccupazioni della community riguardava la tenuta finanziaria della piattaforma. I vertici di Binance hanno dichiarato formalmente che nessun utente subirà perdite economiche. 

​L'azienda ha mobilitato i propri fondi di riserva e le risorse societarie (tra cui il fondo SAFU) per coprire l'intero ammontare del ammanco. Buona parte dei fondi sottratti non liquidi o non congelati è in fase di reintegro diretto tramite le riserve di capitale dell'azienda.

​Le lezioni da imparare: la sicurezza non è mai troppa

​

Questo evento epocale riaccende con forza il dibattito sulla centralizzazione dei servizi finanziari digitali e sulla vulnerabilità della catena di approvvigionamento IT (supply chain security):

1. ​Endpoint e fattore umano: Ancora una volta, il perimetro di sicurezza più debole si dimostra essere il terminale dell'utente (anche tecnico) esposto a campagne di ingegneria sociale mirata.

2. ​La gestione dei privilegi: Limitare e segmentare rigorosamente i permessi di accesso ai container di produzione e ai server di servizio è l'unico argine efficace contro la propagazione laterale di un malware.

​Seguiremo gli sviluppi tecnici di questa vicenda non appena verranno pubblicati i report post-mortem definitivi da parte dei team di sicurezza di Binance. Nel frattempo, la regola d'oro per chi gestisce asset digitali resta sempre la stessa: not your keys, not your coins.

ChromeOS Flex: come dare nuova vita a un vecchio PC (gratis)

​Hai un vecchio laptop o un PC fisso che giace nell'armadio a prendere polvere? 

Windows 11 rifiuta di installarsi perché il tuo processore è "troppo vecchio", e persino Windows 10 ormai fa fatica ad aprire un paio di schede su Chrome?

​Prima di portarlo alla piattaforma ecologica, c'è una soluzione ufficiale, gratuita e facilissima da installare: ChromeOS Flex di Google.

​In questo articolo vediamo cos'è, come funziona e perché potrebbe essere la scelta perfetta per resuscitare il tuo hardware.

​Cos'è ChromeOS Flex?

​ChromeOS Flex è il sistema operativo di Google progettato per trasformare vecchi PC Windows e Mac in dispositivi veloci e reattivi, del tutto simili ai classici Chromebook.

​A differenza del ChromeOS standard che trovi preinstallato sui Chromebook, Flex è studiato per essere installato su qualsiasi hardware (o quasi). Si avvia in pochi secondi, consuma pochissima RAM e punta tutto sulla semplicità e sul cloud.

​I vantaggi principali

• ​⚡ Velocità ritrovata: Avvio rapido e reattività straordinaria anche su computer con processori datati e soli 4 GB di RAM.

• ​🛡️ Sicurezza integrata: Sandboxing, aggiornamenti automatici e protezione da malware senza la necessità di antivirus pesanti.

• ​🔋 Autonomia al top: Poiché richiede pochissime risorse di sistema, la batteria del tuo vecchio notebook durerà decisamente di più.

• ​☁️ Sincronizzazione immediata: Ti basta accedere con il tuo account Google per ritrovare subito preferiti, estensioni, password e file su Google Drive.

​

ChromeOS Flex vs ChromeOS Tradizionale: cosa manca?

​Sebbene sia un'ottima soluzione, è bene conoscere un paio di limitazioni importanti prima di iniziare:

1. ​Niente Google Play Store (App Android): A differenza dei Chromebook nativi, ChromeOS Flex non supporta l'installazione delle app Android.

2. ​Niente app Windows (.exe): Non potrai installare i classici programmi installabili di Windows. Tutto passa attraverso le web app (Google Docs, Office Web, Canva, Spotify, ecc.) o l'ambiente Linux integrato per gli utenti più avanzati.

​

Di cosa hai bisogno per iniziare?

​Per installare ChromeOS Flex ti servono soltanto:

• ​Il PC/Mac da "resuscitare" (con almeno 4 GB di RAM e processore a 64-bit).

• ​Una chiavetta USB da almeno 8 GB (verrà formattata, quindi salva i dati al suo interno!).

• ​Il browser Google Chrome installato su un qualsiasi computer per creare la chiavetta d'installazione.

​

Come installarlo in 3 passi

1. ​Crea la chiavetta USB: Installa l'estensione Utility ripristino Chromebook su Chrome, seleziona "ChromeOS Flex" dal menu e segui le istruzioni a schermo per formattare la tua chiavetta.

2. ​Prova il sistema (Live USB): Inserisci la chiavetta nel vecchio PC, avvialo selezionando il boot da USB e scegli l'opzione "Provalo prima". In questo modo potrai testare il sistema senza toccare il tuo hard disk. 

3. ​Installa: Se tutto funziona (Wi-Fi, audio, tastiera), clicca su Installa ChromeOS Flex per sostituire definitivamente il vecchio sistema operativo.

​A chi lo consigliamo?

​

ChromeOS Flex è ideale per:

• ​Studenti: Per navigare, prendere appunti e preparare documenti su Google Docs.

• ​Smart working di base: Email, videochiamate (Google Meet, Zoom web) e gestione file cloud.

• ​Uso domestico: Per chi vuole un PC familiare veloce, pronto all'uso e sicuro per genitori o nonni.

​Conclusione

​Non lasciarti ingannare dall'obsolescenza programmata: con ChromeOS Flex puoi regalare anni di vita in più a computer che altrimenti finirebbero tra i rifiuti elettronici.

​E tu hai già un vecchio laptop pronto per il test?

Phishing via Calendario: La Nuova Trappola per Rubare i Tuoi Account (e Come Difendersi)

Siamo ormai tutti piuttosto esperti nel riconoscere le classiche email di phishing: link sospetti, mittenti strani, urgenza ingiustificata. Ma la creatività dei cybercriminali non si ferma mai, e oggi una nuova frontiera della truffa si insinua in uno degli strumenti che usiamo di più ogni giorno: il calendario digitale.

​Google Calendar, Microsoft Outlook e Apple Calendar sono diventati il nuovo bersaglio per attacchi mirati a rubare credenziali e dati personali. Vediamo come funziona questa minaccia e, soprattutto, come proteggere i tuoi account.

​Cos’è il Calendar Phishing e come funziona?

​Il meccanismo è subdolo perché sfrutta una funzione pensata per semplificarci la vita: l'aggiunta automatica degli inviti.

1. ​L'invito trappola: Un malintenzionato invia un invito a un evento (spesso con titoli accattivanti come "Hai vinto un premio", "Aggiornamento di sicurezza obbligatorio" o "Rimborso in sospeso").

2. ​La notifica sul dispositivo: Poiché molte app sincronizzano automaticamente gli inviti ricevuti via email direttamente nel calendario, la notifica compare sul tuo smartphone o PC come un normale appuntamento di lavoro o personale.

3. ​Il link malevolo: All'interno della descrizione dell'evento si trova un link (spesso mascherato da URL legittimo) che rimanda a una pagina di phishing identica a quella di un servizio noto (Google, Microsoft, banche, ecc.). Inserendo le tue credenziali, consegnerai le chiavi del tuo account direttamente agli hacker.

​Perché questo attacco è così pericoloso?

• ​L'effetto "canale ufficiale": Spesso riceviamo notifiche push direttamente dalle nostre app di calendario fidate. Questo abbassa drasticamente la nostra soglia di attenzione rispetto a un'email finita nella cartella spam.

• ​Aggiramento dei filtri: Molti filtri antispam tradizionali faticano a intercettare gli inviti di calendario legittimi, che sfruttano i protocolli standard dei servizi di posta.

​Come proteggere i tuoi account: La guida pratica

​Fortunatamente, bastano poche modifiche alle impostazioni delle tue app di calendario per bloccare sul nascere questo tipo di minacce.

​1. Disattiva l'aggiunta automatica degli inviti

​Questa è la misura di prevenzione più efficace. Impedisce che chiunque possa inserire eventi nel tuo calendario senza la tua approvazione.

• ​Google Calendar:

A. ​Apri Google Calendar da computer.

B. ​Clicca sull'icona a forma di ingranaggio in alto a destra (Impostazioni).

C. ​Nel menu a sinistra, seleziona Impostazioni per i miei calendari > Impostazioni eventi. 

D. ​Alla voce "Aggiungi inviti al mio calendario", seleziona Solo se l'invito è stato inviato da un mittente noto (anziché "Da chiunque").

• ​Outlook / Microsoft 365:

A. ​Vai su Outlook sul Web e apri le Impostazioni.

B. ​Clicca su Calendario > Eventi da e-mail. 

C. ​Modifica le opzioni per fare in modo che gli eventi non vengano aggiunti automaticamente da fonti sconosciute.

​2. Segnala e rimuovi gli eventi sospetti

​Se ricevi un invito indesiderato:

• ​Non cliccare mai sui link presenti nella descrizione o nei campi allegati.

• ​Non rispondere all'invito (interagire, anche cliccando su "Rifiuta", conferma agli hacker che il tuo indirizzo email è attivo).

• ​Elimina l'invito in modo sicuro: Molte piattaforme permettono di rifiutare ed eliminare l'evento segnalandolo contemporaneamente come spam.

​3. Abilita sempre l'Autenticazione a Due Fattori (2FA)

​Se un attaccante dovesse sfortunatamente riuscire a rubare la tua password tramite una pagina di phishing, la verifica in due passaggi (tramite app authenticator o chiave di sicurezza) impedirà l'accesso non autorizzato al tuo account.

​In sintesi

​Il calendario digitale è il nostro assistente personale, ma può trasformarsi in un cavallo di Troia se lasciamo aperte le porte ai mittenti sconosciuti. Pochi secondi spesi per configurare correttamente le impostazioni di sicurezza basteranno a metterti al riparo da brutte sorprese.

​Hai mai ricevuto inviti strani sul tuo calendario o conosci qualcuno che ci è cascato? Raccontatecelo!