Un informe de la firma de seguridad Sublime, citado por Business Insider, señala que la phishing mediante invitaciones de calendario se disparó más de diez veces entre julio y agosto de 2026. La táctica es simple: aparece un evento en la agenda con apariencia de reunión legítima y, con un solo clic, puede comprometer contraseñas, información de pago o incluso el equipo del usuario.

La razón principal es psicológica: si bien muchos desconfían de correos con enlaces sospechosos, una cita que llega directamente a la agenda suele generar confianza rápida, lo que facilita el engaño.

El mecanismo es directo: el atacante envía una invitación falsa o añade mensajes sobre llamadas perdidas, facturas impagas o renovaciones por vencer. El evento trae enlaces maliciosos incrustados que se activan al hacer clic.

Según Microsoft, las invitaciones de calendario se procesan de forma distinta a los adjuntos de correo tradicionales: un enlace dañino puede llegar a la agenda del usuario sin que este tenga que abrir un adjunto.

Ron Kerbs, CEO de Kidas, una firma que desarrolla herramientas para detectar estafas y deepfakes en llamadas de voz, explicó que las invitaciones fraudulentas suelen presentarse en dos formatos. En la primera, el evento contiene un enlace de reunión comprometido o un formulario diseñado para robar credenciales o instalar malware. En la segunda, la víctima entra a una videollamada que parece legítima y se topa con un impostor que se hace pasar por un empleado de confianza, a veces con el nombre real, pero con una dirección de correo falso.

La eficacia de este tipo de ataque pasa por la llegada directa al calendario, a veces mostrado automáticamente por la app, incluso si el usuario no aceptó la invitación, lo que aporta una sensación de autenticidad inmediata. Kerbs añadió que los estafadores están usando IA generativa para aumentar el realismo, con deepfakes de audio o video que imitan a personal de soporte técnico.

Aman Gairola, cofundador de Say Design, una agencia de diseño con sede en la India, relató una experiencia en junio: alguien reservó una reunión a través de su sitio y la invitación conducía a una carpeta que parecía de Google Drive con un resumen del proyecto. Al hacer clic, fue conducido a una página que imitaba Drive; revisó la URL y comprobó que era falsa, evitando abrir cualquier archivo. “Si tuviera que evaluar cuán convincente es, le pondría 9,5 sobre 10”, afirmó. En consecuencia, su empresa evalúa eliminar la opción de agendar llamadas desde su web y reemplazarla por un formulario.