El phishing evoluciona y, con él, las tácticas para engañar a usuarios y acceder a credenciales. Recientemente, investigadores identificaron campañas a gran escala que abusan de las invitaciones de calendario y de las solicitudes de reuniones para robar credenciales de Microsoft 365. En estos ataques, los atacantes esconden enlaces maliciosos dentro de archivos .ics, detalles de reuniones falsos, códigos QR e páginas de invitación engañosas. Se ha observado que cientos de miles de correos de phishing están dirigidos a más de 40,000 organizaciones.
Si recibes una invitación de calendario en tu bandeja de entrada, mantén la cautela: podría tratarse de una estafa diseñada para obtener tus credenciales de Microsoft 365 u otros accesos.
Check Point Research (CPR) ha señalado campañas de phishing a gran escala que se aprovechan de la práctica habitual de compartir invitaciones de calendario en el entorno laboral. En algunos casos, las invitaciones llegan como archivos adjuntos .ics que pasan por filtros de correo al ser percibidos como inofensivos y terminan en la bandeja de entrada del usuario. En otros casos, las invitaciones llegan como enlaces que redirigen al destinatario fuera de su calendario y directo a una trampa.
La primera variante es potencialmente más peligrosa: el adjunto se presenta como una solicitud de reunión o una notificación de pago, y al abrir o aceptar la invitación, este se añade al calendario. Dependiendo de la configuración, la entrada del calendario puede procesarse automáticamente. En ambos escenarios, el contenido fraudulento parece una cita laboral estándar o una notificación de servicio. Si el contenido del evento incluye descripciones, ubicaciones o códigos QR engañosos, podría dirigir a una página de inicio de sesión de Microsoft 365 falsa o a un portal de pagos fraudulento. El usuario, al no detectar que las landing pages son imitaciones, podría entregar credenciales o información de pago a los atacantes.
La segunda variante, que depende de un enlace dentro del correo, es más fácil de montar pero a la vez más fácil de detectar por los filtros de seguridad si se observa con atención. Si logra evadir las defensas, la víctima puede encontrarse con una estafa difícil de detectar.
En un ejemplo destacado por CPR, una víctima recibió una invitación falsa de Microsoft Teams; al pasar el cursor sobre el enlace de “unirse”, se reveló su destino real: una página de captura de credenciales en un sitio web tercero.
Campañas a gran escala
Los ataques descritos son notoriamente masivos y en crecimiento. CPR señala que se envían cientos de miles de correos cada mes desde direcciones de correo comprometidas. A partir de septiembre de 2026, se detectó un aumento significativo en estas campañas: más de 302,386 correos phishing únicos entre clientes de seguridad, dirigidos a más de 40,000 organizaciones. En promedio, las campañas envían más de 8,300 correos activos por día, desde más de 33,890 dominios remitentes y 247,270 direcciones remitentes únicas. La actividad no cede; al contrario, se acelera. El volumen diario pasó de unos pocos miles al mes en abril a más de 118,000 en septiembre y supera los 740,000 en solo las primeras dos semanas de octubre. El día más ocupado hasta la fecha fue el 8 de octubre, con casi 200,000 correos.
El phishing es una de las tácticas de ataque más antiguas y utilizadas, y con razón: es ubicuo, barato y eficaz para comprometer una red objetivo. Sobre defensas, la medida más efectiva suele ser el sentido común y la educación. Se recomienda a las organizaciones y a los empleados que sean especialmente cautelosos con correos o mensajes que soliciten descargar archivos no solicitados o iniciar sesión en un servicio de forma urgente, ya que estos indicadores suelen ser signos de ataques.
Recomendaciones prácticas para mitigar este riesgo:
– Desarrollar una política clara de manejo de invitaciones de calendario y validar remitentes, especialmente para .ics y enlaces de invitaciones.
– Desplegar prácticas de verificación de enlaces: mantener la vista previa de enlaces, evitar hacer clic en enlaces en correos de remitentes no verificados y confirmar por otros medios la legitimidad de la invitación.
– Educar a los usuarios para que no inicien sesión desde páginas de aterrizaje no autorizadas; usar autenticación multifactor (MFA) y soluciones de seguridad que detecten y bloqueen intentos de phishing.
– Implementar filtros de correo y detección de amenazas que identifiquen enlaces de redirección y páginas de imitaciones de inicio de sesión.
– Realizar simulacros de phishing para aumentar la conciencia y medir la resiliencia del equipo frente a este tipo de ataques.
La vigilancia proactiva y la educación continua son clave para reducir el impacto de estas campañas y proteger las credenciales corporativas frente a vectores cada vez más sofisticados.
from Latest from TechRadar https://ift.tt/uzIp4HK
via IFTTT IA
