Una invitación de calendario es uno de los mensajes más habituales en el entorno laboral actual. Llega a la bandeja de entrada, requiere unos segundos de atención y rara vez se cuestiona. Los atacantes lo saben y ahora utilizan invitaciones de reuniones falsas para robar credenciales de cuentas de Microsoft.
Se han identificado varias campañas de phishing a gran escala que utilizan invitaciones de calendario falsas para robar credenciales. Algunas llegan como un archivo adjunto “.ics”. El archivo contiene datos de calendario válidos, por lo que el ataque se aprovecha de las funciones del calendario y la confianza del usuario sin explotar ninguna vulnerabilidad de software. Otras utilizan un enlace que aparentemente redirige a un destino diferente. Ambas están diseñadas para robar las credenciales de la víctima.
Los investigadores de Check Point Email están rastreando estas campañas y han visto un aumento significativo a partir del 25 de septiembre de 2026. Una nueva capa de detección diseñada específicamente para identificar este tipo de ataque ha marcado más de 302.386 correos electrónicos de phishing únicos entre nuestros, afirmó Ángel Salazar, Gerente de Ingeniería de Canales en América Latina de Check Point. Software.
Correos electrónicos de clientes, enviados a más de 40.000 organizaciones. Las campañas generan un promedio de más de 8.319 correos electrónicos por día activo. Los correos electrónicos provenían de más de 33.890 dominios de remitente diferentes y más de 247 270 direcciones de remitente únicas.
Una invitación falsa a una reunión de Microsoft Teams. Al pasar el cursor sobre el enlace "Unirse", se revela su destino real: una página para robar credenciales en login.microsoft.com, no en Teams.
Tendencias a lo largo del tiempo
La actividad no disminuye, sino que se acelera. El volumen diario pasó de unos pocos miles de correos electrónicos al mes en abril a más de 118.000 en septiembre, y a más de 740.000 en tan solo las dos primeras semanas de octubre. El día con mayor actividad hasta la fecha fue el 8 de octubre, con casi 200.000 correos electrónicos.
Características destacadas de esta campaña:
Enlace malicioso insertado en una invitación de calendario, un formato que los usuarios rara vez tratan con recelo. Enlace disfrazado de página de inicio de sesión de Microsoft, diseñado para capturar credenciales.
Miles de dominios de remitente diferentes Actividad intensa y sostenida, observada incluso el 15 de octubre de 2026.
Este no es el único disfraz que usan los atacantes. Hemos visto campañas similares que abusan de otros mensajes automatizados y confiables, como notificaciones falsas de correo de voz con archivos adjuntos maliciosos.
