Phishing con invitaciones de calendario: cómo protegerte
Phishing con invitaciones de calendario: es la nueva forma de llegar a tu bandeja sin que el filtro de correo lo detenga. El atacante envía una invitación falsa y el evento aparece en tu calendario con un enlace, un código QR o un teléfono fraudulento. Además, ese evento puede quedarse ahí aunque el correo original termine en cuarentena.
Cómo funciona el phishing con invitaciones de calendario
Los atacantes usan archivos .ics, el formato estándar para compartir eventos entre Google Calendar, Outlook y otros programas. Así, el evento puede simular una factura vencida, un pago rechazado, una renovación de suscripción o una reunión de Microsoft Teams. Por su parte, el enlace lleva a una página que imita el inicio de sesión de Microsoft para robar la contraseña.
El problema es que el correo y el evento son dos objetos distintos. De hecho, algunos calendarios añaden la invitación de forma automática, antes de que la abras. Según Sublime Security, muchas herramientas de seguridad borran el correo, pero no el evento que ese correo ya creó.
Una campaña que crece rápido
El 15 de octubre de 2026, Check Point Research informó que marcó más de 302.000 correos de este tipo dirigidos a más de 40.000 organizaciones. Asimismo, contó más de 740.000 envíos en las dos primeras semanas de octubre, con un pico de casi 200.000 el día 8.
En este sentido, el truco funciona porque casi nadie desconfía de su propia agenda. Por lo tanto, una alerta de «reunión en 10 minutos» con un botón para unirse resulta muy convincente, sobre todo en el trabajo.
Cómo protegerte del phishing con invitaciones de calendario
En la práctica, unos pocos hábitos bastan para reducir el riesgo..
- Desconfía de lo inesperado: trata una invitación desconocida igual que un correo sospechoso.
- No uses lo que trae el evento: no abras enlaces, no escanees QR y no llames a números que vengan en la invitación. Entra al sitio oficial por tu cuenta.
- Cambia la configuración: en Google Calendar, ajusta la opción «Añadir invitaciones a mi calendario» para que solo entren las de remitentes conocidos.
- Borra y reporta: si el evento ya está en tu agenda, elimínalo y repórtalo con la herramienta de tu proveedor.
- Para administradores: revisa que tu solución de seguridad también elimine los eventos de los correos en cuarentena. Sublime publicó un kit gratuito para hacerlo en Google Workspace y Microsoft 365.
Finalmente, recuerda que borrar un correo sospechoso no garantiza que desaparezca todo rastro. Por eso, frente al phishing con invitaciones de calendario, conviene revisar también la agenda.
Recuerda que estaremos publicando constantemente en nuestro blog más contenido sobre tecnología.
Puedes encontrarnos en Facebook y LinkedIn para más contenido relacionado con seguridad en internet y muchos temas más.
Fuentes: Check Point, Sublime Security, Firethering.