Inspector de invitaciones de calendario .ics
Pega un archivo .ics o el código fuente de una invitación y detecta señales de phishing: dominios que imitan el inicio de sesión de Microsoft, enlaces engañosos, organizadores que no cuadran y redirecciones.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Las invitaciones de calendario son un canal de phishing en auge: una invitación de Teams o Microsoft 365 para «revalidar tu buzón» aparece en tu calendario y un enlace apunta a una página que roba tu contraseña. Pegas el texto de un archivo .ics o el código fuente de la invitación o del correo, y esta herramienta analiza los campos (ORGANIZER, URL, LOCATION, DESCRIPTION, ATTENDEE, SUMMARY, más las URL y las líneas From/Organizer) y ejecuta seis comprobaciones heurísticas: texto del enlace frente a su destino real, dominios que imitan el inicio de sesión de Microsoft (contra una lista de dominios genuinos de Microsoft), discrepancia entre el dominio del organizador y el del remitente, URL externas para unirse, hosts con IP en bruto, punycode o subdominios profundos, y acortadores de URL o patrones de redirección abierta. El resultado es un veredicto (Parece legítima, Sospechosa o Riesgo alto) con cada señal explicada, qué hacer a continuación y una exportación a Markdown con un clic; dos ejemplos (uno benigno y otro claramente de phishing con las URL desactivadas) te permiten probarla. Es solo defensiva: analiza una invitación que recibiste y nunca genera señuelos. Todo se ejecuta en tu navegador, sin subir nada y sin llamadas a servidores, WHOIS ni consultas de antigüedad de dominio; las comprobaciones son heurísticas honestas, no una garantía. Es una herramienta Pro.
- Pega el texto de un archivo .ics o el código fuente de la invitación o del correo, o carga uno de los dos ejemplos.
- Revisa los campos analizados y las seis comprobaciones heurísticas.
- Lee el veredicto (Parece legítima, Sospechosa o Riesgo alto) y la explicación de cada señal.
- Sigue los pasos recomendados (verifica antes de iniciar sesión, no te fíes de la marca de Microsoft, prefiere las passkeys) y exporta a Markdown.
Preguntas frecuentes
¿Qué hace el inspector de invitaciones de calendario .ics?
Pegas el texto de un archivo .ics o el código fuente de una invitación o un correo, y analiza los campos estándar de iCalendar (ORGANIZER, URL, LOCATION, DESCRIPTION, ATTENDEE, SUMMARY) más las URL y las líneas From/Organizer, y después ejecuta seis comprobaciones heurísticas de trucos de phishing habituales. Da un veredicto de Parece legítima, Sospechosa o Riesgo alto, explica cada señal en lenguaje claro y te dice qué hacer. Es una herramienta de análisis defensiva: inspecciona una invitación que ya recibiste y nunca produce contenido de phishing.
¿Se sube o se envía algo a algún sitio?
No. Toda la herramienta es JavaScript en el lado del cliente que se ejecuta en tu navegador. No hay llamadas de red, API, WHOIS ni DNS, y nada de lo que pegas sale de la página. Eso también significa que la herramienta no puede comprobar la antigüedad ni la reputación de un dominio, porque requeriría una consulta externa; es transparente sobre qué comprobaciones hace y cuáles no.
¿Cómo distingue un inicio de sesión real de Microsoft de una imitación?
El inicio de sesión genuino de Microsoft solo vive en un conjunto corto y conocido de dominios: microsoft.com, microsoftonline.com, office.com, live.com, outlook.com, sharepoint.com y algunos más. La herramienta compara cada host enlazado con esa lista conservadora. Si el host está en ella (o es un subdominio de uno), pasa. Si en cambio pone «microsoft», «office», «teams», «login» o una marca similar delante de otro dominio registrable (por ejemplo, un host como login-microsoftonline.teams-verify-support.example), se marca como una imitación para robar credenciales. La lección es que el estilo de Microsoft en un correo no demuestra nada; solo el dominio lo hace.
¿Puedo comprobar si el dominio remitente se registró hace poco?
No dentro de esta herramienta, por diseño: la antigüedad del dominio requiere una consulta WHOIS o RDAP externa, y el inspector no hace llamadas de red. Para cualquier host que marque puedes hacer esa comprobación tú: un servicio WHOIS/RDAP o la consulta de tu registrador mostrará la fecha de creación, y un dominio registrado hace días que pide tu contraseña de Microsoft es una señal de alarma adicional muy fuerte. El panel de transparencia de la herramienta enumera exactamente qué comprobaciones hace y cuáles te deja a ti.
¿Por qué se desactivan las URL del ejemplo y las que pegas?
El ejemplo claramente malicioso lleva su host escrito en forma desactivada (hxxps:// y [.] en lugar de http:// y puntos) para que no se pueda pulsar ni resolver desde la página: la herramienta sirve para aprender a detectar ataques, no para distribuir ataques activos. Cuando pegas una URL desactivada, el inspector la reactiva solo en memoria para poder analizarla; nunca muestra un enlace malicioso pulsable.
¿Es gratis?
No, es una herramienta Pro.