Phishing con invitaciones de calendario falsas: .ics y Teams

El correo de phishing del que te enseñaron a desconfiar se ha puesto un disfraz que tus instintos nunca aprendieron a cuestionar: una invitación a una reunión. Los investigadores de Check Point Email (en un informe del 15 de octubre de 2026) describen una campaña grande y en rápido crecimiento que abusa de funciones normales del calendario —adjuntos .ics maliciosos e invitaciones falsas de Microsoft Teams— para robar credenciales de Microsoft 365. Lo importante para los defensores es lo que no es: no es una falla de Outlook, de Teams ni del formato iCalendar. Es el abuso de un comportamiento de calendario en el que se confía, así que no va a llegar ningún parche: solo mejores hábitos, detección y autenticación.

Análisis independiente de terceros para CISO y equipos de seguridad del correo y de identidad. PlayCISO no está afiliado a Check Point. Todas las cifras se atribuyen a la información de Check Point; no las hemos verificado de forma independiente y, cuando la fuente es ambigua, lo decimos en lugar de afirmarlo.

Qué es la campaña

Según los investigadores de Check Point Email, una nueva capa de detección sacó a la luz una ola de phishing que se esconde detrás del único objeto de correo que casi nadie revisa dos veces: la invitación de calendario. Predominan dos variantes.

• Adjuntos .ics maliciosos. La invitación llega como un archivo de calendario .ics estándar. Son datos de calendario válidos —esa es la clave— y contienen o enlazan a un destino que roba credenciales.
• Invitaciones falsas de Microsoft Teams. Un correo normal se disfraza de solicitud de reunión de Teams. En un ejemplo de Check Point, el enlace para «unirse» no iba a Teams: apuntaba a una página de inicio de sesión de Microsoft falsificada, creada para capturar las credenciales de Microsoft 365 de la víctima.

En ambos casos, el objetivo es el mismo: que alguien escriba un usuario y una contraseña de Microsoft 365 en una página que controla el atacante.

La escala, según Check Point

Estas son cifras de Check Point, publicadas por Check Point (informe del 15 de octubre de 2026). Las recogemos con atribución y no las hemos verificado de forma independiente.

Check Point también informa de que el volumen pasó de unos pocos miles de correos al mes en abril a más de 118.000 en septiembre y más de 740.000 en las dos primeras semanas de octubre. Dos advertencias honestas sobre esas cifras, ambas nuestras y no de Check Point: el informe las describe de forma inconsistente (diarias en un lugar, mensuales en otro), así que apóyate en la tendencia —una rampa empinada y que se acelera— en lugar de dar por cerrada la base de cálculo; y la cifra de 740.000 en dos semanas es una medición distinta de la de 302.386 correos de phishing únicos: cuentan cosas diferentes y no deben sumarse ni confundirse.

Es el abuso de una función, no una vulnerabilidad

La frase más importante que puede llevarse un líder de seguridad: no se está hackeando nada de Outlook, Teams ni del formato .ics.

Un archivo .ics son datos de calendario legítimos. Una invitación con aspecto de Teams es un correo de apariencia legítima. El atacante no explota un bug de análisis ni un salto de autenticación: explota la confianza que la gente pone en las invitaciones de calendario y el hecho de que tanto las personas como algunas defensas de correo examinan una invitación mucho menos que un correo con un enlace a secas. Esa distinción decide tu respuesta: no hay CVE que parchear ni corrección de proveedor que esperar. Las palancas son ajustar la detección, los hábitos de verificación y una autenticación que no caiga con una contraseña robada.

Por qué las invitaciones de calendario se cuelan por los instintos normales ante el phishing

1. La familiaridad baja la guardia. Una invitación a una reunión es una parte rutinaria y esperada de la jornada. La sospecha que la gente reserva para un enlace o un adjunto no solicitados simplemente no se activa con una invitación.
2. La estructura parece legítima. Un .ics son datos de calendario reales; una invitación de Teams imita un producto que se usa constantemente. La marca y el formato «se ven bien» a simple vista, y por eso el aspecto no prueba nada.
3. La llamada a la acción está disfrazada. La acción es un botón de «unirse a la reunión», no un enlace evidente de «inicia sesión aquí». Y como las invitaciones pueden quedarse en el calendario, el señuelo puede seguir ahí después de haber gestionado el correo que lo trajo.

El hábito que vence a las tres es aburrido y fiable: la marca de Microsoft en una invitación de calendario no prueba nada; solo lo hacen el remitente verificado y el destino real del enlace. Pasa el cursor por el enlace, lee adónde va realmente y nunca escribas una contraseña en una página a la que llegaste desde una invitación.

El playbook del CISO

Ninguna de estas defensas es exótica: son los fundamentos para vencer al phishing de credenciales, aplicados a una superficie que se olvidó cubrir.

1. Verifica el remitente y el destino del enlace antes de cualquier inicio de sesión. Conviértelo en la regla permanente y refuérzala: comprueba quién envió realmente la invitación y pasa el cursor por la URL real antes de confiar en ella. Una invitación de «Teams» cuyo enlace apunta a cualquier sitio que no sea un dominio de Microsoft es phishing. Nuestro laboratorio de autenticación de correo recorre SPF, DKIM y DMARC para que puedas razonar qué invitaciones se pueden falsificar para que parezcan internas y cuáles no.
2. Despliega autenticación resistente al phishing. Con passkeys y llaves de seguridad FIDO2 de hardware, una contraseña capturada no basta para entrar: es el control de mayor impacto frente a cualquier campaña de robo de credenciales. Nuestro laboratorio de bypass de MFA muestra exactamente qué tipos de MFA sobreviven a un phishing de credenciales y cuáles no.
3. Ajusta el monitoreo del correo y el calendario a las señales de la campaña. Marca para una inspección más detallada los adjuntos .ics, los dominios remitentes recién registrados y los enlaces cuyo destino no coincide con el servicio que nombran. Con 33.890 dominios remitentes y 247.270 direcciones, la reputación del remitente por sí sola no te salvará: la discrepancia del destino es la señal más fuerte.
4. Amplía la formación de concienciación. La mayor parte de la formación se centra en correos con un enlace en el cuerpo. Añade explícitamente las invitaciones a reuniones y los adjuntos .ics, con ejemplos reales, para que las invitaciones dejen de ser un punto ciego.
5. Ensaya el triaje y ten listo un runbook de compromiso. Trata un phishing por invitación de calendario reportado como cualquier otra alerta de phishing de credenciales; nuestra guía sobre cómo triar una alerta del SOC explica el flujo de trabajo.

Practica cómo detectarlo: dos herramientas complementarias

Leer sobre un señuelo no es lo mismo que reconocerlo en tu bandeja de entrada un viernes a las 4 de la tarde. Creamos dos herramientas junto a este artículo para cerrar esa brecha:

• .ics Invite Inspector: pega una invitación de calendario (o su .ics en bruto) y marca las señales de riesgo: destinos de enlaces que no coinciden con el servicio nombrado, adjuntos sospechosos, discrepancias entre remitente y dominio y las demás señales descritas arriba.
• Calendar-Invite Triage Lab: un ejercicio práctico para entrenar la decisión con invitaciones falsas realistas, para que tu equipo desarrolle el instinto antes de que llegue una de verdad.

Si se introdujeron credenciales: los pasos del incidente

Luego cierra el ciclo de forma duradera: pasa a ese usuario —idealmente a todo el tenant— a una autenticación resistente al phishing, para que la próxima contraseña que robe una invitación no valga nada.

La conclusión para los líderes

Los atacantes no encontraron un nuevo exploit; encontraron un nuevo disfraz. Las invitaciones de calendario son confiables, rutinarias y poco inspeccionadas, y justo por eso un phishing de credenciales vestido de invitación está llegando a 40.000 organizaciones a un ritmo que, según Check Point, se multiplicó por más de cien entre abril y octubre. No puedes parchear la confianza. Puedes verificar antes de iniciar sesión, hacer inútil una contraseña robada con autenticación resistente al phishing y enseñar a tu gente que una invitación a una reunión merece el mismo escrutinio que cualquier otro enlace. Haz esas tres cosas y el disfraz deja de funcionar.

Fuente

Este artículo recoge y analiza información de Check Point; no origina ninguna de las cifras anteriores.

• Check Point: Fake Calendar Invites Target Thousands of Organizations in Microsoft Credential-Phishing Campaign (informe del 15 de octubre de 2026)