- Els atacants usen fitxers ICS per inserir esdeveniments automàticament a l'agenda sense consentiment previ.
- L'objectiu principal és el robatori de contrasenyes, dades bancàries o la instal·lació de codi maliciós (malware) mitjançant enllaços enganyosos.
- La prevenció clau és desactivar l'addició automàtica d'invitacions i activar l'autenticació multifactor.
Segurament estàs acostumat a desconfiar d'un correu electrònic que arriba del no-res amb un enllaç estrany, però t'has parat a pensar que la teva agenda podria ser la porta d'entrada per a un hacker? Últimament s'ha posat molt de moda una tàctica de phishing a través d'invitacions de calendari que és capaç de saltar-se molts dels filtres de seguretat tradicionals, colant-se directament a la teva organització diària sense que te n'adonis.
Aquest tipus d'enganys són especialment perillosos perquè juguen amb la nostra psicologia; ens sentim més segurs veient una cita al calendari que un email sospitós. No obstant això, només cal un clic en un enllaç maliciós perquè els ciberdelinqüents prenguin el control de les teves contrasenyes, accedeixin als teus comptes bancaris o instal·lin programari espia al teu ordinador o mòbil. Analitzarem a fons com funcionen aquests paranys i què pots fer perquè no t'enxampin desprevingut.
En què consisteix exactament aquest engany?
El mecanisme és sorprenentment senzill però molt efectiu. Els atacants envien una sol·licitud de reunió utilitzant fitxers ICS (l'estàndard iCalendar) o invitacions directes de serveis com Google Calendar o Outlook. El més mosquejant és que, depenent de com tinguis configurat el teu compte, l'esdeveniment pot aparèixer automàticament a la teva agenda fins i tot abans que hagis decidit si acceptes la cita o no.
Una vegada que la cita hi és, l'estafador utilitza diversos ganxos perquè mosseguis l'ham: des d'avisos urgents sobre factures impagades o renovacions de subscripcions caríssimes, fins a falsos premis o alertes de seguretat que et diuen que el teu dispositiu té un virus. L'objectiu és generar una sensació d'urgència o curiositat que us impulsi a fer clic en un botó, com el típic «Veure aquí» o un suposat formulari de reCAPTCHA.
Variants i tàctiques comunes dels estafadors
No tots els atacs són iguals. Alguns se centren en el robatori de credencials mitjançant pàgines clonades que imiten serveis legítims com Google Drive o plataformes de criptomonedes. Altres, més agressius, intenten que instal·lis eines d'accés remot com AnyDesk o TeamViewer, fingint que són del suport tècnic per «solucionar un problema de facturació» mentre, en realitat, rebusquen al sistema.
En el cas dels usuaris d'Apple, hi ha el fenomen de l'anomenat virus del calendari d'iPhone . No és un virus en el sentit tècnic, sinó una subscripció forçada a un calendari de correu brossa. De cop i volta, el teu mòbil comença a bombardejar-te amb notificacions alarmants sobre virus o premis. Molts daquests calendaris sactiven quan lusuari interactua amb captchas falsos en webs dubtoses o fa clic en enllaços de SMS de seguiment de paquets.
Com detectar que una invitació és falsa
Per no caure al parany, cal fixar-se en els detalls que els delinqüents solen passar per alt. Per exemple, si rebeu una factura al vostre calendari en comptes dels canals oficials de l'empresa, és un senyal claríssim de frau . També has de desconfiar dels títols que semblen estats de transacció (ex. Pagament processat amb èxit: ID-12345) en lloc de noms de reunions reals.
Un altre punt clau és la redacció. Fixa't si hi ha errors gramaticals, majúscules inconsistents o salutacions massa genèriques com «Estimat senyor/a». Així mateix, revisa sempre l'adreça de correu electrònic completa del remitent; de vegades el nom sembla legítim, però el domini és una adreça privada o un compte de Gmail qualsevol que no té res a veure amb una empresa oficial.
Passos per netejar el teu calendari i protegir-te
Si ja tens el calendari ple de correu brossa, el primer és eliminar els comptes sospitosos. A iPhone, vés a Ajustos, després a Calendari ia l'apartat de Comptes esborra qualsevol subscripció que no reconeguis . A Mac o iCloud, podeu gestionar les preferències del calendari i desmarcar aquells que siguin aliens a tu.
Per evitar que torneu a passar, la mesura més efectiva és desactivar l'addició automàtica d'esdeveniments . A Google Calendar, entreu a la configuració d'esdeveniments i canvieu l'opció perquè les invitacions només s'afegeixin quan respongueu des del correu. A Outlook, desmarca el processament automàtic de sol·licituds de reunió al menú d'opcions de correu.
Mesures de seguretat addicionals per blindar el compte
No et quedis només a la neteja del calendari. És fonamental activar l'autenticació multifactor (MFA) a tots els comptes. D'aquesta manera, encara que un hacker aconsegueixi la vostra contrasenya a través d'un enllaç de pesca, no podreu entrar al vostre compte sense el segon codi de verificació. A més, lús de passkeys és una solució brillant, ja que estan vinculades a un lloc web específic i no funcionen en còpies fraudulentes.
També és recomanable bloquejar les finestres emergents al navegador i evitar interactuar amb les cites sospitoses . Compte amb això: fins i tot donar-li a «Rebutjar» pot ser un error, ja que thereby confirmes a l'atacant que el teu compte de correu està actiu i ets una persona real que llegeix els seus missatges, cosa que et convertirà en un blanc més atractiu per a futurs atacs.
Tenir el control total de la teva agenda implica ser escèptic amb qualsevol cita no sol·licitada, restringir qui pot afegir esdeveniments al teu calendari i mantenir el programari de seguretat actualitzat per bloquejar dominis maliciosos. La combinació d‟una configuració restrictiva, l‟ús de MFA i un sentit comú alerta és la millor defensa per evitar que una simple notificació es converteixi en un desastre digital.