Una cita inesperada en la agenda puede parecer un asunto de trabajo pendiente. Sin embargo, detrás de esa invitación podría haber un intento de robar contraseñas, obtener información financiera o instalar programas maliciosos.

Según datos de la empresa de seguridad Sublime citados por Business Insider, los ataques mediante invitaciones de calendario se multiplicaron por más de diez entre julio y agosto de 2026. El engaño aprovecha una reacción habitual: las personas suelen revisar con cautela los correos extraños, pero confían con mayor facilidad en los eventos que aparecen en su agenda.

Una invitación que aprovecha la confianza

Los delincuentes envían convocatorias que simulan reuniones laborales, avisos de facturas pendientes, renovaciones de servicios o notificaciones de llamadas perdidas. Dentro del evento colocan enlaces que conducen a páginas fraudulentas o a descargas peligrosas.

De acuerdo con el reporte de Microsoft citado en la información, estas invitaciones reciben un tratamiento diferente al de los archivos adjuntos tradicionales. Dependiendo de la configuración del servicio, pueden incorporarse al calendario sin que el destinatario abra un archivo o acepte expresamente la convocatoria.

Esa aparición automática ayuda a dar credibilidad al mensaje. Al verlo entre sus compromisos cotidianos, el usuario puede asumir que se trata de una actividad auténtica y bajar la guardia.

Páginas falsas y videollamadas con impostores

Ron Kerbs, director ejecutivo de Kidas, identifica dos formas frecuentes de este fraude. Una utiliza enlaces que llevan a formularios diseñados para capturar credenciales o a sitios que intentan instalar software malicioso.

La otra busca que la persona entre a una videollamada con alguien que suplanta a un contacto de confianza. El impostor puede presentarse con el nombre de un empleado real, aunque utilice una dirección de correo diferente.

Según Kerbs, los atacantes también recurren a herramientas de inteligencia artificial para imitar voces o imágenes y hacerse pasar por personal de soporte técnico. Estos recursos refuerzan una puesta en escena que busca convencer a la víctima de compartir información o seguir instrucciones.

Una propuesta comercial como señuelo

Aman Gairola, cofundador de la agencia india Say Design, recibió en junio una reserva de reunión que parecía provenir de un posible cliente. La convocatoria incluía un enlace a una supuesta carpeta de Google Drive con los detalles de un proyecto.

Al ingresar, encontró una página muy similar a la del servicio original. Antes de abrir documentos, revisó la dirección web y detectó que se trataba de una imitación.

Gairola describió el montaje como altamente convincente. Tras el intento de fraude, su empresa comenzó a evaluar la posibilidad de sustituir las reservas directas de reuniones en su sitio por un formulario de contacto.

El peligro también puede llegar desde una cuenta conocida

Reconocer al remitente tampoco garantiza que una invitación sea segura. La montañista y conferencista Jenn Drummond sufrió el robo de su cuenta de correo, que después fue utilizada para enviar convocatorias fraudulentas a decenas de sus contactos.

Los mensajes advertían sobre una supuesta citación judicial y dirigían a un aviso legal falso que pedía información financiera.

Además del riesgo para los destinatarios, Drummond expresó preocupación por el daño a su reputación: quienes recibían las invitaciones podían creer que ella era responsable de enviarlas.

Cómo reducir el riesgo

Una reunión inesperada merece la misma revisión que cualquier mensaje sospechoso. Antes de entrar a un enlace, conviene comprobar quién organiza el evento, revisar la dirección completa del remitente y confirmar por otro medio cualquier solicitud inusual.

Los especialistas también aconsejan evitar los números telefónicos incluidos en convocatorias desconocidas y revisar los ajustes del calendario para impedir que las invitaciones se incorporen automáticamente.

Mathew Woodyard, director de inteligencia de amenazas de Okta, señala que la protección también depende de las empresas que administran estos servicios. A su juicio, la seguridad no debería descansar únicamente en la capacidad de cada persona para reconocer un engaño.

Entre las herramientas que destaca están las claves de acceso o passkeys, vinculadas al sitio legítimo para el que fueron creadas. Esa característica impide utilizarlas para iniciar sesión en una página que suplanta al servicio original y reduce el riesgo de entregar credenciales a los atacantes.

Que una cita aparezca en el calendario no confirma su autenticidad. Revisar su origen antes de abrir enlaces o compartir información puede evitar que una aparente reunión termine en un fraude.

Este artículo fue publicado originalmente en Infobae y está protegido por derechos de autor. Todos los derechos reservados a Infobae. Puedes consultar el artículo original en su (https://www.infoabe.com).