El calendario llama; los estafadores esperan
La empresa Check Point Research (CPR) ha advertido de varias campañas de phishing a gran escala en las que los delincuentes utilizan invitaciones de calendario para robar contraseñas de Microsoft 365 y datos de acceso a otros servicios. La estrategia es sencilla: quienes trabajan reciben invitaciones a reuniones constantemente, así que un correo sospechoso puede perderse entre las notificaciones habituales del trabajo.
Los investigadores detectaron dos formas de distribuir el señuelo. En el primer caso, el correo incluye un archivo adjunto .ics, un archivo de evento de calendario. Este formato no es peligroso por sí mismo, por lo que el adjunto puede pasar los filtros de correo y llegar a la bandeja de entrada. En el segundo caso, el mensaje contiene un enlace que redirige al usuario desde la invitación a una página fraudulenta.
La variante con el archivo .ics es especialmente engañosa. El adjunto se hace pasar por una invitación a una reunión o por un aviso de pago. Si el destinatario lo abre o lo acepta, el evento aparece en el calendario. Con algunos ajustes, puede procesarse automáticamente. Después, el evento falso parece una reunión de trabajo corriente o una notificación de un servicio.
El archivo y el evento de calendario no instalan malware ni aprovechan ninguna vulnerabilidad. El peligro se esconde en el contenido del evento: la descripción, el campo de ubicación o un código QR integrado pueden llevar a una página de inicio de sesión falsa de Microsoft 365 o a un portal de pagos fraudulento. Si la persona no detecta el engaño, entregará a los delincuentes su contraseña o sus datos de pago.
El segundo método —incluir un enlace directamente en el correo— es más sencillo para los delincuentes, pero los sistemas de seguridad del correo pueden detectarlo y enviar el mensaje a la carpeta de spam. Si aun así supera el filtro, puede ser difícil advertir el engaño. En uno de los ejemplos de CPR, el destinatario recibió una invitación falsa a una reunión de Microsoft Teams. Al pasar el cursor por el botón «Unirse», se mostraba la dirección real: un sitio web de terceros creado para robar credenciales.
Según CPR, las campañas son de gran alcance y siguen creciendo. Los investigadores señalan un aumento considerable desde el 25 de septiembre de 2026. Un nuevo mecanismo de detección de estos ataques identificó, entre los correos de sus clientes, más de 302 386 mensajes de phishing únicos dirigidos a más de 40 000 organizaciones.
En los días de mayor actividad se enviaron de media más de 8 300 correos. Los mensajes procedían de más de 33 890 dominios de envío y de más de 247 270 direcciones únicas. Según CPR, la actividad no remite, sino que se acelera: el volumen mensual pasó de varios miles de correos en abril a más de 118 000 en septiembre. Solo en las dos primeras semanas de octubre se enviaron más de 740 000 mensajes. El día de mayor actividad fue el 8 de octubre, con casi 200 000 correos.
El phishing sigue siendo uno de los métodos de ataque más antiguos y extendidos: cuesta poco a los delincuentes y a menudo les permite infiltrarse en la red de una organización. La protección empieza por la atención y la formación de los empleados. Los correos inesperados entrañan riesgos, y los mensajes que exigen descargar un archivo o iniciar sesión en una cuenta con urgencia suelen requerir una comprobación. No conviene abrir invitaciones sospechosas, seguir enlaces ni escanear códigos QR sin comprobar adónde llevan exactamente.
PEREC.RU
La noticia describe campañas de phishing en las que los delincuentes disfrazan enlaces para robar contraseñas de invitaciones de calendario corrientes. El principal cebo son las reuniones de trabajo y los avisos de pago: como la gente está acostumbrada a recibirlos continuamente, puede no darse cuenta de la trampa.
Check Point Research detectó dos métodos. El primero es un archivo adjunto .ics, con un evento de calendario. El formato no es malicioso en sí, así que el correo puede pasar los filtros. Si el destinatario abre o acepta la invitación, esta se añade al calendario; con algunos ajustes, se procesa automáticamente. El evento falso parece una reunión habitual o un aviso de un servicio.
El evento puede incluir una descripción, una ubicación o un código QR con un enlace a una página de inicio de sesión falsa de Microsoft 365 o a un portal de pago fraudulento. El método no aprovecha vulnerabilidades ni instala malware: los delincuentes confían en que la víctima introduzca por sí misma la contraseña o los datos de pago.
El segundo método consiste en incluir el enlace directamente en el correo. Los sistemas de correo pueden detectarlo y enviar el mensaje a spam, pero, si supera el filtro, puede ser difícil identificar la falsificación. CPR pone como ejemplo una invitación falsa de Microsoft Teams: el enlace «Unirse» llevaba a un sitio de terceros que recopilaba credenciales. Al pasar el cursor por encima se podía ver la dirección real.
Según CPR, la campaña se intensificó notablemente desde el 25 de septiembre de 2026. Un mecanismo diseñado para detectar estos ataques señaló más de 302 386 correos de phishing únicos dirigidos a más de 40 000 organizaciones. En los días de mayor actividad se enviaron de media más de 8 300 mensajes. Procedían de más de 33 890 dominios y de más de 247 270 direcciones de remitente únicas.
Los investigadores informan de que el número de correos pasó de varios miles en abril a más de 118 000 en septiembre. En las dos primeras semanas de octubre, el volumen superó los 740 000 y el 8 de octubre se alcanzó el máximo diario: casi 200 000 mensajes. CPR señala que la campaña está acelerando su actividad.
El phishing sigue siendo popular porque cuesta poco a los delincuentes y a menudo les permite infiltrarse en la red de una organización. La protección básica consiste en estar atentos y formar a los empleados: los correos inesperados exigen cautela, sobre todo si insisten en que se descargue un archivo o se inicie sesión urgentemente. Antes de seguir un enlace, hay que comprobar su dirección; no se deben abrir invitaciones sospechosas ni escanear códigos QR sin verificarlos.
