Expertos en ciberseguridad de AegisAI advierten sobre el nuevo phishing: "El enlace fraudulento se añade en tu calendario sin que hayas aceptado la invitación"
Elígenos como tu fuente preferida en Google.
Las nuevas técnicas de ingeniería social utilizan trámites de recursos humanos, nóminas y falsas reuniones para engañar a las víctimas.
Los ciberdelincuentes siguen buscando nuevas fórmulas con las que tratar de engañar a los usuarios para que se conviertan en sus víctimas, lo que hace que resulte imprescindible estar al tanto de los métodos más actuales para evitar caer en sus redes. En este sentido, los expertos en ciberseguridad de AegisAI advierten de un nuevo tipo de phishing, que ya ha dado el salto del correo electrónico a las invitaciones de calendario, donde los atacantes han visto una nueva puerta de entrada para las estafas digitales.
Esto muestra que los delincuentes digitales no se detienen y exploran canales que generan más confianza en los usuarios para lograr sus objetivos. Los atacantes buscan constantemente puntos ciegos en las defensas corporativas, y al encontrarse con que las empresas refuerzan cada vez más la seguridad en las cuentas de correo electrónico, los ciberdelincuentes amplían su ámbito de actuación y ponen el foco en otras herramientas que son parte del día a día de miles de empleados.
De esta manera, aplicaciones comunes como Google Calendar, las plataformas colaborativas o las aplicaciones de productividad se han convertido en sus objetivos, principalmente por tratarse de entornos que habitualmente son percibidos como legítimos y seguros. Sin embargo, no están exentos de que se pueda colocar en ellos un enlace fraudulento o un QR ilícito para robar credenciales.
Así funciona el nuevo phishing a través de las invitaciones de calendario
Los expertos de AegisAI recalcan que este nuevo phishing no es algo pasajero, otras firmas de seguridad también han detectado un aumento de los ataques a través del calendario. Se trata de una evolución lógica de esta técnica de estafa digital en la que los ciberdelincuentes se hacen pasar por empresas o personas de confianza para robar datos privados, como contraseñas o números de tarjetas bancarias, entre otros.
Este tipo de estafas no deja de crecer, tal y como demuestran los últimos datos publicados por el Instituto Nacional de Ciberseguridad (INCIBE), en los que se informa de que en 2025 cuatro de cada diez incidencias fueron fraudes online, lo que supuso un incremento del 19% con respecto al año anterior. Además, se registraron 25.133 casos relacionados con phishing.
Ahora se abre un nuevo foco de riesgo para las empresas con la llegada de esta estafa a las invitaciones de calendario, donde, según explican desde AegisAI, se consigue eludir buena parte de los controles tradicionales: Google Workspace añade el evento al calendario automáticamente en cuanto se recibe la invitación, sin que el usuario tenga que aceptarla ni hacer clic. "Un correo de phishing tiene que superar un momento de atención del destinatario. Una invitación se salta ese momento por completo", señalan.
En este caso, los ciberdelincuentes utilizan invitaciones de Google Calendar auténticas, generadas por la propia infraestructura de Google desde cuentas reales previamente comprometidas, en combinación con páginas fraudulentas que imitan el inicio de sesión de Google, para tratar de obtener las credenciales de los trabajadores y acceder a su entorno laboral.
Por lo general, el usuario recibe una invitación de calendario aparentemente inofensiva, con un asunto en el que se suele hacer referencia a procesos corporativos rutinarios, como la invitación a participar en una licitación, el cobro de una factura, la revisión de una nota de crédito o una reunión con un mensaje de voz adjunto.
Cuando el trabajador abre la invitación, accede al contenido del evento, donde puede encontrar instrucciones y enlaces que parecen legítimos, pero que realmente no lo son. Al seguir las indicaciones, pasa por una falsa verificación de tipo CAPTCHA, diseñada para burlar los sistemas de análisis automático, y es redirigido a una página de autenticación falsa. Si introduce sus credenciales, los atacantes consiguen acceso a la cuenta corporativa, con el riesgo que supone.