# Inviti truffa su Google Calendar e Outlook: come limitare i rischi

URL: https://menteinformatica.it/sicurezza-privacy/phishing-inviti-google-calendar-outlook/
Autore: Giorgio Perillo
Aggiornato: 2026-10-19
Categoria: Sicurezza e Privacy

---

Gli inviti di Google Calendar e Microsoft Outlook vengono usati sempre più spesso per rubare account. Secondo i dati di Sublime Security riportati da [HDblog](https://www.hdblog.it/sicurezza/articoli/n674078/google-calendar-outlook-attacchi-phishing/), ad agosto gli attacchi arrivati attraverso inviti di calendario sono cresciuti del **1.216%** rispetto a luglio.

Il confronto riguarda gli attacchi che la società di sicurezza ha osservato direttamente.

## Perché l’antispam può lasciare gli inviti falsi in agenda

Il fenomeno ha anche un nome, Calendar Phishing o CalPhishing, ed è noto da anni. Già nel 2019 Artem Russakovskii di Android Police aveva documentato appuntamenti spam comparsi da soli nel calendario.

Il trucco sta nella gestione degli inviti. A seconda delle impostazioni, un evento può finire nel tuo calendario **anche se non l’hai accettato**. I filtri possono riconoscere e bloccare l’email truffa, ma l’appuntamento resta in agenda, magari con tanto di promemoria.

Nella descrizione dell’evento gli aggressori mettono link a siti contraffatti, richieste di pagamento o inviti a scaricare programmi. L’esca può essere un promemoria per un pagamento o per il rinnovo di un servizio.

## Operation Cloudfire e ConsentFix negli attacchi via invito

Una delle campagne più articolate l’ha individuata Material Security, che l’ha chiamata **Operation Cloudfire**. Colpisce soprattutto gli account Google aziendali, con inviti che all’inizio portano a infrastrutture legittime di Google.

Da lì la vittima finisce su una procedura di accesso controllata dagli aggressori. Un proxy, cioè un server che si piazza tra te e il servizio, intercetta la sessione anche quando è attiva la verifica in due passaggi. La società dice di aver fatto disattivare oltre 500 domini legati alla campagna.

Anche chi usa un account Microsoft è nel mirino. Fortra ha documentato una campagna che unisce inviti fraudolenti e **ConsentFix**, una tecnica che sfrutta i meccanismi di autenticazione di Microsoft. Le esche sono falsi avvisi di rinnovo o richieste di firma elettronica, e la procedura che segue può consegnare agli aggressori le sessioni di accesso.

Immagine: [Google Workspace](https://workspace.google.com/products/calendar/)

## Google Calendar, come accettare solo gli inviti di chi conosci

Puoi limitare l’aggiunta automatica degli eventi. Dalla versione per computer di Google Calendar la procedura, descritta nella [guida di Google sugli inviti](https://support.google.com/calendar/answer/13159188?hl=it), è questa.

- Fai clic su Impostazioni, in alto a destra.

- Nella sezione “Impostazioni generali”, apri Impostazioni evento e poi Aggiungi inviti al mio calendario.

- Scegli una delle opzioni elencate qui sotto.

- **Da tutti**: tutti gli inviti inviati direttamente al tuo indirizzo email vengono aggiunti automaticamente al calendario. Per quelli inviati a un gruppo Google di cui fai parte, puoi rispondere all’email per aggiungere l’evento.

- **Solo se il mittente è noto**: l’evento entra da solo se chi lo manda è tra i tuoi contatti, fa parte della tua organizzazione o ha già interagito con te.

- **Quando rispondo all’invito nell’email**: l’evento compare solo dopo che hai risposto alla notifica via email.

Con l’opzione dei mittenti noti, un invito escluso ti arriva comunque come email. La modifica vale **solo per i nuovi inviti**.

Con un account di lavoro o della scuola è l’amministratore a decidere quali opzioni puoi usare, quindi qualcuna potrebbe mancare. L’opzione Solo se il mittente è noto potrebbe rivelare ai mittenti che non sono tra i tuoi contatti.

## Segnalare come spam un evento già in agenda

Se l’appuntamento sospetto è già nel calendario, aprilo, fai clic su Altre azioni in alto a destra e scegli Segnala come spam. L’evento sparisce e, se è ricorrente, **viene rimossa tutta la serie**.

La segnalazione funziona solo con gli eventi inviati da Google Calendar. Quelli creati da un altro provider, app o servizio non si possono segnalare come spam.

Su Android, se gli eventi spam continuano a comparire anche dopo aver scelto i soli mittenti noti, controlla quali app hanno accesso al calendario.

## Su Outlook, guarda il mittente prima di cliccare

Per Outlook l’indicazione è più semplice. Prima di aprire i link nella descrizione, controlla chi ha mandato l’appuntamento. Un evento in calendario non dimostra che sia legittimo, e una pagina di accesso dall’aspetto autentico non esclude il phishing.