Una reunión que nunca se pidió aparece de golpe en el calendario de trabajo. Tiene hora, asunto y un enlace para conectarse. No hace falta abrir ningún archivo adjunto: con un solo clic alcanza para que contraseñas, datos de tarjetas o la computadora entera queden expuestos. Ese es el mecanismo de una estafa que, según la firma de seguridad Sublime, creció más de diez veces entre julio y agosto de 2026.

La clave del éxito está en la confianza. Buena parte de los usuarios ya aprendió a desconfiar de un mail con links raros, pero casi nadie pone en duda una cita que figura en su propia agenda. Esa costumbre es la que explotan los atacantes.

Cómo se cuela el engaño en la agenda

El modus operandi es directo. La víctima recibe una invitación a una videollamada falsa o un aviso sobre una llamada perdida, una factura impaga o una suscripción por vencer. El evento incluye enlaces maliciosos que se activan al tocarlos.

Según un informe de Microsoft, las invitaciones de calendario se procesan de manera distinta a los adjuntos de correo: el enlace dañino puede llegar a la agenda sin que el usuario tenga que descargar nada. Además, algunas aplicaciones muestran el evento de forma automática aunque nunca se lo haya aceptado, lo que le da una apariencia de legitimidad inmediata.

Ron Kerbs, director ejecutivo de Kidas, una empresa que desarrolla herramientas para detectar estafas y deepfakes en llamadas de voz, describió dos variantes frecuentes. En una, el evento trae un enlace de reunión comprometido o un formulario pensado para robar credenciales o instalar software malicioso. En la otra, la persona entra a una videollamada que parece normal y se encuentra con un impostor que se hace pasar por un conocido, muchas veces con el nombre real de un empleado pero con una dirección de correo falsa.

Kerbs también advirtió que los estafadores suman realismo con inteligencia artificial generativa. "Están usando tecnología deepfake para parecerse al mismo tipo de soporte técnico", señaló el especialista, en alusión a audios o videos creados por IA que imitan a un empleado real de una compañía.

Dos casos que muestran el alcance

Aman Gairola, cofundador de la agencia de diseño india Say Design, creyó que había conseguido un cliente en junio. Alguien reservó una reunión desde la web de la empresa y la invitación incluía un enlace a lo que parecía una carpeta de Google Drive con el resumen de un proyecto.

Gairola hizo clic y llegó a una página que imitaba a Google Drive, pero algo no cerraba. Revisó la dirección del sitio, confirmó que era falsa y no abrió ningún archivo. "Si tengo que calificar qué tan convincente es, le pondría un 9,5 sobre 10", contó. Su empresa analiza eliminar la opción de agendar llamadas desde la web y reemplazarla por un formulario.

El riesgo también aparece cuando el remitente es alguien real y conocido. La montañista y oradora Jenn Drummond sufrió el robo de su cuenta de correo mientras viajaba en avión. Desde esa cuenta se envió a decenas de sus contactos una invitación de calendario que advertía sobre una supuesta citación judicial, con un enlace a un aviso legal falso que pedía datos financieros.

"¿Qué van a pensar? Que no soy confiable, y tu marca se construye sobre la confianza", relató Drummond.

Qué hacer ante un evento inesperado

Los especialistas recomiendan tratar cualquier invitación que llegue sin aviso con el mismo recelo que un correo sospechoso. En concreto: no abrir enlaces ni llamar a los teléfonos que figuran en la invitación si el remitente es desconocido, y revisar la configuración del calendario para desactivar la opción que agrega los eventos entrantes de forma automática.

Mathew Woodyard, director de inteligencia de amenazas de una firma de ciberseguridad, coincide en que la prevención pasa por recuperar el hábito de dudar. La expansión de esta modalidad muestra que los atacantes ya no necesitan que la víctima abra un archivo: les basta con que confíe en su propia agenda.