El phishing cambia de escenario: así pueden colarte una estafa directamente en tu calendario

Tradicionalmente asociamos el phishing a un correo electrónico sospechoso que aparece en la bandeja de entrada. Sin embargo, los ciberdelincuentes están buscando nuevas vías para esquivar las medidas de seguridad y llegar hasta sus víctimas. Una de ellas está en una herramienta que utilizamos a diario en el trabajo: el calendario. 

Las invitaciones a supuestas reuniones, entrevistas de trabajo, revisiones salariales o actualizaciones de políticas corporativas pueden esconder enlaces fraudulentos, códigos QR e incluso archivos maliciosos. El objetivo es siempre el mismo: conseguir que la víctima interactúe con el contenido y termine entregando sus credenciales o instalando un programa malicioso.

La amenaza no es completamente nueva, pero sí está cambiando de escala. Diego León, CEO de Flameera, compañía especializada en servicios de seguridad gestionada, explica que los ataques que utilizan invitaciones de calendario "están creciendo de forma muy acelerada".

Según datos que cita el experto, Microsoft detectó que esta técnica aumentó un 277% solo en junio, mientras que KnowBe4 registró un incremento del 50% durante el último semestre. Aun así, las invitaciones de calendario representan aproximadamente el 4% del volumen de amenazas de correo detectadas por Microsoft.

Del correo electrónico al calendario: una nueva puerta de entrada

León advierte de que no se trata exactamente de una técnica nueva ya que "están documentadas desde hace años", explica el experto. "Lo que ha cambiado es que ha dejado de ser artesanal: ya hay empresas que vinculan grandes campañas a kits de envío de phishing utilizados de forma generalizada por criminales. Cuando una técnica se empaqueta en un kit y se vende por suscripción, ya no hace falta saber nada para usarla", explica.

¿Por qué trasladar entonces el ataque desde el correo hasta el calendario? La respuesta está, en buena medida, en las diferencias de protección entre ambas herramientas. "Como el correo ha sido una vía principal, se han levantado muchas medidas alrededor de su protección y se ha formado a los empleados. Con el calendario pasa lo contrario, prácticamente no se aplica ninguna medida de seguridad adicional ni se da formación. Además, el formato de calendario (.ics) es un estándar que circula cientos de veces al día en cualquier empresa y las herramientas lo tratan como inofensivo. Es una forma de pasar debajo del radar", apunta León.

El usuario puede no haber abierto todavía el correo

Uno de los aspectos más llamativos de esta modalidad es que el contenido malicioso puede llegar al calendario incluso antes de que el usuario haya interactuado con la invitación. "En cuanto el software de correo lee el fichero crea la cita, normalmente marcada como provisional. El usuario todavía no ha hecho nada y el contenido malicioso ya está en su calendario", explica León. El enlace fraudulento puede encontrarse en distintos campos de la invitación, como el asunto, la ubicación o la descripción. También puede aparecer acompañado de un botón o un código QR.

Existe además otra dificultad: aunque posteriormente los sistemas de seguridad detecten el correo y lo eliminen, la cita puede permanecer en la agenda. De esta forma, días después, el usuario podría recibir una notificación y abrir una invitación cuyo origen ya había sido identificado como malicioso. Además, el experto añade "al acceder rara vez se llega directamente a la página falsa. Suele haber una capa intermedia, como un CAPTCHA, que pasa por dominios de buena reputación, y cuya única función es evitar que los sistemas de seguridad automáticos puedan detectar el contenido malicioso. Así, sólo se deja pasar a la víctima".  "El destino es una imitación de un login de Microsoft, Google, o cualquier otra plataforma online, donde dependiendo de la sofisticación del ataque, se robará la contraseña e incluso se evadirá el doble factor de autenticación", agrega.

Qué hacer si recibes una invitación sospechosa

La primera recomendación es sencilla: no interactuar con la invitación. León aconseja confirmar su autenticidad mediante un canal alternativo, como una llamada telefónica o un chat corporativo. Eso sí, hay una precaución importante: nunca se deben utilizar los datos de contacto incluidos en la propia invitación. "Si la invitación es falsa, esos datos probablemente también sean falsos y acabemos hablando con el atacante", advierte. 

También es fundamental informar inmediatamente al equipo de seguridad o al proveedor de TI de la empresa. Si el usuario ya ha introducido sus credenciales, será necesario cambiar la contraseña, cerrar las sesiones abiertas y revisar posibles reglas de reenvío del correo y permisos concedidos a aplicaciones de terceros.