Una notifica compare sul calendario del telefono: un appuntamento che non si ricorda di aver fissato, con un link da cliccare per “confermare la presenza”. Sembra legittimo — è lì, nel calendario, con tanto di promemoria automatico. Ma è una trappola. Si chiama truffa calendar phishing, conosciuta anche come Calphishing, e nelle ultime settimane ha registrato un’impennata significativa, colpendo utenti di Google Calendar e Microsoft Outlook su dispositivi Android e iOS in tutta Italia e nel resto del mondo.
Che cos’è il Calendar Phishing e perché funziona così bene
Il termine calendar phishing — o Calphishing — indica una tecnica di frode informatica che sfrutta il sistema degli inviti del calendario digitale per veicolare link malevoli. Non si tratta di una semplice email di spam: l’invito arriva direttamente nell’agenda dell’utente, si aggiunge automaticamente agli appuntamenti e imposta un promemoria prima ancora che la persona decida se fidarsi o meno del mittente.
Questo meccanismo è al cuore del suo successo. Come documentato da ricercatori di sicurezza informatica, gli inviti da calendario trasmettono un senso di fiducia che un’email fredda non riesce a eguagliare. Siamo abituati a ricevere convocazioni di riunioni, promemoria di appuntamenti medici, notifiche di eventi: il calendario è percepito come uno spazio “privato” e quindi più affidabile della casella di posta, già da anni associata allo spam. I truffatori lo sanno e lo sfruttano con precisione.
Come funziona la truffa passo dopo passo
Il meccanismo della truffa calendar phishing segue uno schema riconoscibile. L’utente riceve un invito su Google Calendar o Microsoft Outlook — le due piattaforme più diffuse — che sembra provenire da un’istituzione, un servizio bancario, un corriere o un ente pubblico. L’invito contiene un link, presentato come necessario per “verificare i dati”, “sbloccare un pagamento” o “accedere a un documento condiviso”.
→ Leggi anche: Truffa PostePay: la finta email di Poste Italiane che svuota il conto, ecco come proteggerti
Cliccando sul link, l’utente viene reindirizzato a una pagina contraffatta — spesso una copia quasi perfetta di un sito bancario o di un servizio online — dove viene invitato a inserire le proprie credenziali di accesso. In alcuni casi, la pagina falsa richiede anche il codice OTP (one-time password), ovvero il codice temporaneo che le banche inviano via SMS per autorizzare le operazioni. Fornire quel codice ai truffatori equivale a consegnare le chiavi del conto corrente: il conto può essere svuotato nel giro di pochi minuti.
Nelle situazioni più gravi, la truffa non si limita al furto di credenziali bancarie, ma porta al furto di identità digitale con conseguenze che si estendono ben oltre il danno economico immediato.
Il picco di ottobre 2026: Outlook 365 nel mirino
Nelle ultime settimane — con una copertura mediatica significativa tra il 16 e il 25 ottobre 2026 — si è registrato un aumento rilevante di segnalazioni legate a questa tecnica. In particolare, è stata documentata una ondata di inviti di phishing da calendario che prendevano di mira gli utenti di Outlook 365, con una frequenza inusuale rispetto ai mesi precedenti.
La notizia ha raggiunto testate tecnologiche internazionali come ZDNet, che il 25 ottobre 2026 ha dedicato un articolo specifico ai falsi inviti da calendario con allegati malware, e piattaforme di settore come Hoxhunt e PowerDMARC, specializzate nell’analisi delle minacce di ingegneria sociale. La truffa colpisce indistintamente utenti su dispositivi Android e iOS, il che amplia notevolmente la platea dei potenziali bersagli.
Come riconoscere un invito falso
Non esiste un segnale infallibile, ma ci sono elementi che devono mettere in allerta:
→ Leggi anche: Apate, l'IA che inganna i truffatori: ecco come finge di essere vittima per smascherarli
- Mittente sconosciuto o incoerente: se l’indirizzo email del mittente non corrisponde al dominio ufficiale dell’organizzazione che dichiara di rappresentare, è un segnale d’allarme immediato.
- Link abbreviati o sospetti: gli inviti legittimi raramente contengono URL accorciati o indirizzi che non corrispondono al dominio ufficiale del servizio citato.
- Urgenza ingiustificata: toni pressanti del tipo “agisci entro oggi” o “il tuo account sarà bloccato” sono classici strumenti di manipolazione psicologica.
- Richiesta di codici OTP: nessun servizio legittimo chiede mai il codice temporaneo ricevuto via SMS attraverso un link in un invito da calendario.
- Appuntamenti non richiesti: un invito che non si ricorda di aver accettato, soprattutto se riguarda temi bancari o legali, merita massima cautela.
Le strategie di difesa concrete
La prima linea di difesa è la consapevolezza. Sapere che questa truffa esiste e che il calendario digitale può essere usato come vettore di attacco è già un vantaggio significativo. Ma ci sono anche misure pratiche da adottare subito.
Su Google Calendar, è possibile modificare le impostazioni per fare in modo che gli eventi vengano aggiunti all’agenda solo dopo l’accettazione esplicita dell’invito, e non automaticamente. Questa opzione si trova nelle impostazioni del calendario alla voce relativa agli eventi da altri utenti. Su Outlook, i filtri anti-spam possono essere configurati per bloccare inviti da mittenti non presenti nella rubrica.
In generale, vale la regola aurea della sicurezza informatica: non cliccare mai su link contenuti in inviti non attesi, anche se l’evento sembra provenire da una fonte familiare. In caso di dubbio, è sempre meglio contattare direttamente l’ente o il servizio citato attraverso i canali ufficiali, cercando il numero o l’indirizzo sul sito istituzionale — non attraverso i dati presenti nell’invito sospetto.
Per approfondire le tecniche di difesa dal phishing in tutte le sue forme, il Commissariato di P.S. Online offre risorse aggiornate e un canale diretto per segnalare tentativi di frode informatica alle autorità italiane.
La truffa calendar phishing è un esempio efficace di come i criminali informatici sappiano adattarsi agli strumenti che usiamo ogni giorno, trasformando la nostra fiducia negli strumenti digitali in un punto di vulnerabilità. La risposta più efficace rimane quella più semplice: fermarsi un secondo prima di cliccare, e chiedersi se quell’invito lo si aspettava davvero.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
