- Los atacantes usan archivos ICS para insertar eventos automáticamente en la agenda sin consentimiento previo.
- El objetivo principal es el robo de contraseñas, datos bancarios o la instalación de malware mediante enlaces engañosos.
- La prevención clave consiste en desactivar la adición automática de invitaciones y activar la autenticación multifactor.
Seguramente estés acostumbrado a desconfiar de un correo electrónico que llega de la nada con un enlace raro, pero ¿te has parado a pensar que tu propia agenda podría ser la puerta de entrada para un hacker? Últimamente se ha puesto muy de moda una táctica de phishing a través de invitaciones de calendario que es capaz de saltarse muchos de los filtros de seguridad tradicionales, colándose directamente en tu organización diaria sin que te des cuenta.
Este tipo de engaños son especialmente peligrosos porque juegan con nuestra psicología; nos sentimos más seguros viendo una cita en el calendario que un email sospechoso. Sin embargo, basta con un solo clic en un enlace malicioso para que los ciberdelincuentes tomen el control de tus contraseñas, accedan a tus cuentas bancarias o instalen software espía en tu ordenador o móvil. Vamos a analizar a fondo cómo funcionan estas trampas y qué puedes hacer para que no te pillen desprevenido.
¿En qué consiste exactamente este engaño?
El mecanismo es sorprendentemente sencillo pero muy efectivo. Los atacantes envían una solicitud de reunión utilizando archivos ICS (el estándar iCalendar) o invitaciones directas de servicios como Google Calendar u Outlook. Lo más mosqueante es que, dependiendo de cómo tengas configurada tu cuenta, el evento puede aparecer automáticamente en tu agenda incluso antes de que hayas decidido si aceptas la cita o no.
Una vez que la cita está ahí, el estafador utiliza diversos ganchos para que muerdas el anzuelo: desde avisos urgentes sobre facturas impagas o renovaciones de suscripciones carísimas, hasta falsos premios o alertas de seguridad que te dicen que tu dispositivo tiene un virus. El objetivo es generar una sensación de urgencia o curiosidad que te impulse a hacer clic en un botón, como el típico «Ver aquí» o un supuesto formulario de reCAPTCHA.
Variantes y tácticas comunes de los estafadores
No todos los ataques son iguales. Algunos se centran en el robo de credenciales mediante páginas clonadas que imitan a servicios legítimos como Google Drive o plataformas de criptomonedas. Otros, más agresivos, intentan que instales herramientas de acceso remoto como AnyDesk o TeamViewer, fingiendo que son del soporte técnico para «solucionar un problema de facturación» mientras, en realidad, rebuscan en tu sistema.
En el caso de los usuarios de Apple, existe el fenómeno del llamado «virus del calendario de iPhone». No es un virus en el sentido técnico, sino una suscripción forzada a un calendario de spam. De repente, tu móvil empieza a bombardearte con notificaciones alarmantes sobre virus o premios. Muchos de estos calendarios se activan cuando el usuario interactúa con captchas falsos en webs dudosas o hace clic en enlaces de SMS de seguimiento de paquetes.
Cómo detectar que una invitación es falsa
Para no caer en la trampa, hay que fijarse en los detalles que los delincuentes suelen pasar por alto. Por ejemplo, si recibes una factura en tu calendario en lugar de por los canales oficiales de la empresa, es una señal clarísima de fraude. También debes desconfiar de los títulos que parecen estados de transacción (ej. «Pago procesado con éxito: ID-12345») en lugar de nombres de reuniones reales.
Otro punto clave es la redacción. Fíjate si hay errores gramaticales, mayúsculas inconsistentes o saludos demasiado genéricos como «Estimado señor/a». Asimismo, revisa siempre la dirección de correo electrónico completa del remitente; a veces el nombre parece legítimo, pero el dominio es una dirección privada o una cuenta de Gmail cualquiera que no tiene nada que ver con una empresa oficial.
Pasos para limpiar tu calendario y protegerte
Si ya tienes el calendario lleno de spam, lo primero es eliminar las cuentas sospechosas. En iPhone, ve a Ajustes, luego a Calendario y en el apartado de Cuentas borra cualquier suscripción que no reconozcas. En Mac o iCloud, puedes gestionar las preferencias del calendario y desmarcar aquellos que sean ajenos a ti.
Para evitar que vuelva a pasar, la medida más efectiva es desactivar la adición automática de eventos. En Google Calendar, entra en la configuración de eventos y cambia la opción para que las invitaciones solo se añadan cuando respondas desde el correo. En Outlook, desmarca el procesamiento automático de solicitudes de reunión en el menú de opciones de correo.
Medidas de seguridad adicionales para blindar tu cuenta
No te quedes solo en la limpieza del calendario. Es fundamental activar la autenticación multifactor (MFA) en todas tus cuentas. De este modo, aunque un hacker consiga tu contraseña a través de un enlace de phishing, no podrá entrar en tu cuenta sin el segundo código de verificación. Además, el uso de passkeys es una solución brillante, ya que están vinculadas a un sitio web específico y no funcionan en copias fraudulentas.
También es recomendable bloquear las ventanas emergentes en el navegador y evitar interactuar con las citas sospechosas. Ojo con esto: incluso darle a «Rechazar» puede ser un error, ya que thereby confirmas al atacante que tu cuenta de correo está activa y eres una persona real que lee sus mensajes, lo que te convertirá en un blanco más atractivo para futuros ataques.
Tener el control total de tu agenda implica ser escéptico con cualquier cita no solicitada, restringir quién puede añadir eventos a tu calendario y mantener el software de seguridad actualizado para bloquear dominios maliciosos. La combinación de una configuración restrictiva, el uso de MFA y un sentido común alerta es la mejor defensa para evitar que una simple notificación se convierta en un desastre digital.