Investigadores de Check Point Email han identificado varias campañas de phishing a gran escala que abusan de falsas invitaciones de calendario para robar credenciales de cuentas de Microsoft, y las cifras empeoran semana a semana. Una capa de detección construida específicamente para este tipo de ataque ha marcado más de 302.386 correos de phishing únicos enviados a más de 40.000 organizaciones, con un promedio de más de 8.319 correos por día activo. Los correos provenían de más de 33.890 dominios de envío distintos y más de 247.270 direcciones únicas.
Cómo funciona el ataque
La campaña tiene dos variantes principales. En la primera, el correo llega con un adjunto .ics. El archivo son datos de calendario válidos, así que el ataque abusa de las funciones de calendario y de la confianza del usuario sin explotar ninguna vulnerabilidad de software. En la segunda, una falsa invitación a una reunión de Microsoft Teams incluye un enlace Join que en realidad apunta a una página de robo de credenciales disfrazada de inicio de sesión de Microsoft. Ambas variantes están diseñadas para capturar el usuario y la contraseña de la víctima. Como el señuelo viaja dentro de un formato que los empleados ven todos los días, los destinatarios rara vez lo miran con sospecha, y un evento malicioso puede incluso plantarse directamente en la agenda del usuario.
El volumen se acelera
Check Point indica que la actividad se disparó a partir del 25 de septiembre de 2026 y no se está apagando. El volumen diario creció de unos pocos miles de correos al mes en abril a más de 118.000 en septiembre, y a más de 740.000 solo en las dos primeras semanas de octubre. El día más activo hasta ahora fue el 8 de octubre, con casi 200.000 correos, y la campaña seguía activa tan recientemente como el 15 de octubre de 2026. Aquí no hay parche que instalar, porque nada estaba roto. El ataque convierte en arma un flujo de trabajo cotidiano y miles de dominios de envío desechables.
Qué significa esto para tu dominio
Una campaña repartida entre decenas de miles de dominios de envío depende en gran medida de la suplantación. Algunos de esos dominios imitan a las marcas y formatos que la gente ya confía, que es exactamente la brecha de confianza que la autenticación de correo cierra. SPF, DKIM y DMARC demuestran que un mensaje proviene realmente del dominio que afirma, y una política DMARC en quarantine o reject impide que el correo falsificado use tu nombre antes de llegar a una bandeja de entrada. Si tu dominio sigue en p=none, los atacantes pueden poner tu marca en sus invitaciones de calendario y tus clientes no tendrán ninguna señal técnica para distinguir la diferencia. Eso es daño de reputación y daño de entregabilidad al mismo tiempo.
La misma lógica se aplica a tu propio correo automatizado. Las confirmaciones de reuniones, los correos de notificación y los mensajes transaccionales reciben clics rápidos porque parecen rutinarios, lo que convierte a tu dominio de envío en una de tus posesiones más valiosas. Protegerlo con DMARC en nivel de aplicación es la diferencia entre una rutina confiable y una superficie de ataque abierta de par en par.
Las falsas invitaciones de calendario funcionan porque nadie cuestiona una solicitud de reunión. Asegúrate de que nadie pueda enviar una en tu nombre. Excello Mail mapea cada fuente legítima de envío y lleva tus dominios a p=reject sin romper el correo real. Regístrate gratis en Excello Mail y mantén tu marca fuera de la lista de invitaciones de los atacantes.