Las invitaciones falsas a reuniones que aparecen sin explicación en el calendario laboral se convirtieron en una de las herramientas de ataque más usadas por los cibercriminales en los últimos meses.
Según un informe de la firma de ciberseguridad Sublime, este tipo de fraude, conocido como phishing por archivos ICS, ha crecido un 33.000% entre mayo y septiembre de 2026. Los investigadores sostienen que la técnica, que abusa de los archivos de calendario con extensión .ics, “finalmente llegó a la corriente principal” de los ataques informáticos.
Cómo funciona el engaño
El método que emplean los atacantes es sencillo. Utilizan un servicio gratuito, como Gmail, para enviar una invitación de calendario a la víctima. Debido a que ambos servicios son legítimos, los ataques logran evadir la mayoría de los filtros de seguridad de correo electrónico y pueden ejecutarse a gran escala con un costo cercano a cero.
La particularidad de esta táctica radica en que expone al usuario al peligro dos veces: primero en la bandeja de entrada del correo y luego en el propio calendario. Dentro de la invitación suele haber un enlace para descargar una herramienta de gestión y monitoreo remoto (RMM, por sus siglas en inglés) configurada de forma maliciosa, como ScreenConnect.
Con ese software, los atacantes pueden tomar control del dispositivo comprometido y desplegar una segunda etapa de malware, entre ellos programas para robar información (infostealers) o ransomware, con el objetivo de sustraer contraseñas, documentos y otros datos valiosos.
Un crecimiento acelerado en pocos meses
De acuerdo con Sublime, esta modalidad de ataque comenzó a incrementar su popularidad hace aproximadamente un año, pero registró una aceleración notable en las últimas semanas. Entre mayo y junio el aumento fue del 282%, y entre junio y julio llegó al 338%.
Entre julio y agosto, la cifra se disparó a 1.216%, y solo en la primera mitad de septiembre el crecimiento fue de 1.426% respecto de todo el mes de agosto. Las proyecciones para septiembre completo, comparadas con agosto, alcanzan el 2.852%.
“Los saltos de agosto y septiembre parecen ser indicadores de que este tipo de ataque finalmente llegó a la corriente principal”, explicaron los investigadores de Sublime. “Para remarcar ese punto, se proyecta que el aumento de mayo a septiembre sea de aproximadamente 33.000%”.
Una variante que roba credenciales sin contraseña
Investigadores de Fortra Intelligence and Research Experts (FIRE) identificaron una campaña relacionada que utiliza el mismo vector de ataque, pero con un objetivo distinto: el robo de sesiones activas. La campaña, vinculada al kit de phishing EvilTokens, también recurre a archivos .ics para insertar enlaces y adjuntos maliciosos directamente en la agenda de los empleados, sin necesidad de que el correo original llegue a la bandeja de entrada de forma visible.
Esta técnica, denominada “CalPhishing”, tiene un componente de persistencia particularmente problemático. Cuando se envía la invitación maliciosa, el cliente de Outlook suele procesar el archivo .ics de forma automática y coloca una entrada tentativa en el calendario del usuario. Aunque el correo original sea marcado como spam o eliminado, la entrada en el calendario permanece activa, lo que amplía la ventana de tiempo en la que la víctima puede interactuar con la reunión falsa a través de un recordatorio en el escritorio o una notificación móvil.
El camino que sigue el ataque
Los investigadores de FIRE identificaron dos señuelos principales: alertas administrativas urgentes de Microsoft 365 sobre supuestas renovaciones de dominio fallidas, y solicitudes de firma digital en facturas de proveedores.
La secuencia del ataque sigue un patrón específico. Primero, la víctima recibe una solicitud de reunión con un archivo adjunto en HTML o un enlace que simula ser un portal administrativo. Si hace clic, es redirigida a una página legítima de autenticación de dispositivos de Microsoft.
Allí entra en juego una técnica conocida como “device code phishing” o ConsentFix: el atacante captura el token de sesión en el momento en que el usuario se autentica, lo que le otorga acceso a la cuenta sin necesidad de conocer la contraseña.
Una vez logrado esto, el atacante puede eludir la autenticación multifactor (MFA) y desplazarse lateralmente por los entornos en la nube de la organización. En los casos que involucran cuentas con privilegios elevados, los atacantes pueden llegar a interrumpir infraestructura o establecer mecanismos de persistencia a largo plazo.
Recomendaciones frente a la amenaza
Los especialistas de Sublime recomiendan que los usuarios estén atentos a señales de alerta como llamados a la acción sospechosos, remitentes desconocidos y mensajes con urgencia financiera injustificada.
Por su parte, los expertos de FIRE sugieren que las organizaciones revisen las configuraciones de procesamiento automático de calendarios y establezcan políticas de acceso condicional que restrinjan los flujos de autenticación por código de dispositivo. Además, señalan que los protocolos de respuesta ante incidentes deben actualizarse para incluir acciones de “eliminación completa”, que borren también los artefactos del calendario y no solo el correo de origen.
