Ni el calendario está a salvo: así son las falsas invitaciones y reuniones para robar datos y dinero

Los ataques de phishing a través de invitaciones de calendario se multiplicaron por más de diez entre julio y agosto de 2026, según datos de la firma de seguridad Sublime citados por Business Insider. Una modalidad sencilla en la que un evento aparece sin aviso en la agenda, con apariencia de reunión legítima, y basta un clic para comprometer contraseñas, datos de pago o la computadora entera.

La razón del crecimiento es, sobre todo, psicológica. Muchos usuarios ya desconfían de un correo con enlaces sospechosos, pero pocos sospechan de una cita que aparece directamente en su calendario de trabajo.

Cómo funciona el engaño en el calendario digital

El mecanismo es simple. El atacante envía una invitación a una reunión falsa o incluye mensajes sobre llamadas perdidas, facturas impagas o suscripciones por renovar. El evento trae enlaces maliciosos incrustados, listos para activarse con un clic.

Según el reporte de Microsoft, las invitaciones de calendario se procesan de forma distinta a los adjuntos de correo tradicionales: un enlace dañino puede llegar directamente a la agenda del usuario sin que este tenga que abrir ningún archivo adjunto.

Ron Kerbs, director ejecutivo de Kidas, empresa que desarrolla herramientas para detectar estafas y deepfakes en llamadas de voz, explicó que las invitaciones fraudulentas suelen adoptar dos formas. En la primera, el evento contiene un enlace de reunión comprometido o un formulario diseñado para robar credenciales o instalar malware.

En la segunda, la víctima ingresa a una videollamada que parece legítima y se encuentra con un impostor que se hace pasar por alguien de confianza, muchas veces con el nombre real de un empleado pero una dirección de correo falsa.

Es importante entender por qué este tipo de ataque resulta tan eficaz: la invitación llega directamente al calendario sin pasar por el filtro mental de “correo sospechoso” y algunas aplicaciones la muestran de forma automática aunque el usuario nunca la haya aceptado, lo que le da una apariencia de autenticidad inmediata.

Kerbs agregó que los estafadores recurren a tecnología de inteligencia artificial generativa para sumar realismo al engaño. “Están usando tecnología deepfake para parecerse al mismo tipo de soporte técnico”, señaló, en referencia al uso de audio o video generado por IA que imita a un empleado real de una compañía.

Casos que muestran el alcance del engaño

Aman Gairola, cofundador de la agencia de diseño india Say Design, creyó haber conseguido un cliente en junio cuando alguien reservó una reunión a través del sitio web de su empresa. La invitación incluía un enlace a lo que parecía una carpeta de Google Drive con un resumen de proyecto.

Gairola hizo clic y llegó a una página que imitaba a Google Drive, pero algo no cuadraba. Revisó la dirección del sitio, confirmó que era falsa y evitó abrir cualquier archivo. “Si tengo que calificar qué tan convincente es, le pondría un 9,5 sobre 10”, dijo, y agregó que su empresa evalúa eliminar la opción de agendar llamadas directamente desde su web y reemplazarla por un formulario.

Otro riesgo surge incluso cuando el remitente es una persona real y conocida. La montañista y oradora Jenn Drummond sufrió el robo de su cuenta de correo mientras abordaba un vuelo, y desde esa cuenta se envió a decenas de sus contactos una invitación de calendario que advertía sobre una supuesta citación judicial, con un enlace a un aviso legal falso que solicitaba datos financieros.

“¿Qué van a pensar? Que no soy confiable, y tu marca se construye sobre la confianza”, relató Drummond.

Cómo protegerse del fraude

Los especialistas recomiendan aplicar a los eventos inesperados el mismo nivel de desconfianza que a un correo sospechoso. En la práctica, eso implica no abrir enlaces ni llamar a teléfonos incluidos en invitaciones de remitentes desconocidos, y revisar la configuración del calendario para desactivar que las invitaciones entrantes se agreguen de forma automática.

Mathew Woodyard, director de inteligencia de amenazas en la firma de gestión de identidad Okta, sostuvo que la responsabilidad principal recae en las empresas que operan los servicios, más que en la capacidad del usuario para detectar una invitación falsa.

También señaló que las passkeys pueden resolver buena parte del problema, porque se crean para una página específica y solo funcionan en el sitio web auténtico, nunca en una copia falsa.

Eso elimina la necesidad de que la persona tenga que juzgar por su cuenta si un enlace es confiable. “Hasta que los factores resistentes al phishing como las passkeys se conviertan en el estándar por defecto, los ataques de phishing van a seguir funcionando”, concluyó.