Ojo con tu agenda: así llegan las estafas por invitaciones falsas de calendario

Los ciberdelincuentes encontraron un camino más para llegar a tus datos: el calendario. Una modalidad de fraude utiliza falsas invitaciones a reuniones y eventos que aparecen directamente en la agenda digital, sin necesidad de que la víctima abra ningún archivo adjunto.

Cómo funciona la estafa

Los atacantes envían invitaciones a supuestas reuniones, o eventos que hablan de llamadas perdidas, facturas impagas o suscripciones por renovar. Dentro del evento hay enlaces maliciosos que, con un solo clic, pueden comprometer contraseñas, datos de pago o incluso toda la computadora.

Según un informe de Microsoft citado por Infobae, las invitaciones de calendario se procesan de manera diferente a los adjuntos de un correo, por lo que un enlace dañino puede llegar a la agenda sin pasar por los filtros habituales.

Algunas agendas agregan eventos solas

Un detalle clave: algunas aplicaciones de calendario incorporan automáticamente las invitaciones, aun cuando el usuario nunca las aceptó. Eso les da una apariencia de legitimidad, porque el evento ya figura entre los compromisos de la persona.

Falsas videollamadas y deepfakes

Otra variante consiste en invitaciones a videollamadas falsas, en las que un impostor usa el nombre de un empleado real con una dirección de correo falsa. Los atacantes también recurren a deepfakes de voz y video generados con inteligencia artificial para hacerse pasar por empleados, por ejemplo del área de soporte técnico.

Cuánto creció

La firma de seguridad Sublime informó que el phishing mediante invitaciones de calendario creció más de diez veces entre julio y agosto de 2026, según datos que Infobae toma de Business Insider.

No es un fenómeno completamente nuevo: medios especializados como Xataka y Genbeta ya habían advertido en notas anteriores sobre estafas que se cuelan en Google Calendar.

Casos reportados

Un diseñador de la India, Aman Gairola, recibió una reserva de reunión con un enlace falso que imitaba a Google Drive. Detectó la dirección web falsa y evitó el engaño, y su empresa evalúa reemplazar el sistema de turnos web por un formulario.

En otro caso, la cuenta de correo de la alpinista y oradora Jenn Drummond fue hackeada y desde allí se enviaron a decenas de sus contactos falsas invitaciones con una citación judicial, que llevaban a un aviso legal falso que pedía datos financieros.

Señales de alerta

Los especialistas recomiendan desconfiar de eventos inesperados, sobre todo si hablan de dinero urgente o de avisos legales. También conviene revisar la dirección real del remitente, ya que el nombre visible puede resultar familiar, y sospechar de enlaces que imitan servicios conocidos pero tienen una web desconocida.

Cómo protegerte

Las recomendaciones coinciden en tratar los eventos inesperados con la misma cautela que un correo sospechoso: no abrir enlaces ni llamar a teléfonos que figuren en invitaciones de desconocidos. Además, conviene desactivar la opción de agregar automáticamente las invitaciones en los ajustes del calendario.

Mathew Woodyard, de Okta, remarcó que las empresas tienen la principal responsabilidad y que las llaves de acceso (passkeys) funcionan solo en el sitio auténtico, lo que evita que el usuario tenga que juzgar por su cuenta si un enlace es legítimo.