Stai per entrare in riunione e arriva un invito: sembra una delle tante comunicazioni della giornata. I falsi inviti Teams sono al centro di una campagna di phishing che usa appuntamenti e calendari per rubare credenziali aziendali, senza ricorrere a programmi dannosi. Per chi guida una PMI, la domanda è concreta: come evitare che un gesto abituale diventi una consegna delle chiavi dell’azienda?
Falsi inviti Teams: il bersaglio è la fiducia
La campagna segnalata ha coinvolto oltre 740mila email e preso di mira più di 40mila organizzazioni. Il meccanismo sfrutta falsi inviti a riunioni Microsoft Teams e appuntamenti di calendario: strumenti familiari, che fanno parte del lavoro quotidiano. L’obiettivo è sottrarre le credenziali, cioè i dati usati per accedere agli account aziendali.
Il punto importante non è soltanto il numero dei messaggi. È il contesto in cui vengono presentati: una riunione sembra un’attività da svolgere, non una richiesta da valutare. Il phishing, ossia l’inganno che induce a consegnare informazioni riservate, si inserisce proprio in questa abitudine.
L’immagine utile è quella di un falso addetto alla reception: non forza la serratura, ma cerca di farsi consegnare la chiave. In questa campagna non serve distribuire malware, cioè software dannoso, per puntare all’accesso aziendale.
Per una PMI conta il gesto, non solo il programma
La notizia non descrive un difetto di Teams da correggere: descrive un abuso della fiducia negli strumenti di collaborazione. Perciò la risposta organizzativa non può limitarsi a chiedere se il programma delle riunioni funziona. Deve includere come le persone valutano gli inviti e le richieste di accesso che ricevono.
Per una piccola impresa, il criterio operativo da adottare è semplice: un messaggio collegato al lavoro non va considerato autentico soltanto perché parla di una riunione. Il calendario dà un contesto credibile alla richiesta, ma quel contesto non è una conferma dell’identità di chi la invia.
Questo non significa sospendere gli appuntamenti o diffidare di ogni collega. Significa scegliere un punto preciso in cui fermarsi: quando un invito inatteso chiede di fare qualcosa con il proprio account. È lì che suggeriamo di inserire una verifica, prima di procedere.
Cosa guarderemmo noi per primo
In MeKraken partiremmo da tre priorità. Sono controlli organizzativi che consigliamo in risposta al meccanismo descritto, non dettagli aggiuntivi sulla campagna.
- Il contesto dell’appuntamento. La riunione era prevista? Chi la propone è una persona con cui stiamo realmente lavorando? Se manca il contesto, consigliamo di confermarlo con il referente attraverso un contatto già conosciuto.
- Il momento della richiesta di accesso. Suggeriamo di non inserire credenziali seguendo automaticamente un invito dubbio e di aprire lo strumento di lavoro dal percorso abituale, separando la verifica del messaggio dall’accesso all’account.
- Il riferimento interno. Ogni persona dovrebbe sapere a chi segnalare un invito sospetto. Consigliamo di indicare un responsabile o il referente informatico, senza lasciare al singolo il compito di decidere tutto da solo.
Cosa fare adesso, senza bloccare le riunioni
Proponiamo una breve checklist da condividere con chi usa posta e calendario. Lo scopo è trasformare una notizia in una regola di lavoro comprensibile, senza aggiungere procedure inutili.
- Spiega il caso concreto. Comunica che gli inviti a riunioni possono essere usati come esca per chiedere credenziali, anche senza scaricare programmi.
- Concorda la verifica. Per gli appuntamenti inattesi, stabilisci come contattare il presunto organizzatore senza affidarsi ai riferimenti contenuti nel messaggio dubbio.
- Definisci la segnalazione. Indica chi contattare sia davanti a un dubbio sia quando sono già stati inseriti dati di accesso. Nel secondo caso, raccomandiamo di avvisare subito il referente informatico per valutare gli interventi sull’account.
La domanda da portare alla prossima riunione interna è questa: se domani arrivasse un invito sospetto, tutti saprebbero come verificarlo e a chi segnalarlo? Una risposta chiara vale più di un generico invito a prestare attenzione.
Domande frequenti
Un invito a Teams può essere una truffa?
Sì. La campagna descritta utilizza falsi inviti a riunioni e appuntamenti di calendario per sottrarre credenziali aziendali, sfruttando la familiarità con questi strumenti.
Il rischio esiste anche senza scaricare allegati?
Sì. In questo caso l’attacco non ricorre a malware: il bersaglio sono i dati di accesso. Non aver installato un programma non basta a escludere questo specifico inganno.
Cosa consigliate se ho già inserito le credenziali?
Consigliamo di avvisare subito il referente informatico e spiegare quale account è coinvolto e quale richiesta è stata seguita. La gestione dell’account va valutata senza aspettare di avere la certezza della truffa.
Se nella tua azienda manca una procedura chiara per questi casi, possiamo aiutarti a definirla attraverso il servizio di assistenza informatica per aziende.
