Invitaciones falsas en el calendario

Que una cita aparezca en tu agenda no significa que hayas acordado una reunión ni que debas seguir sus instrucciones.

Una invitación ocupa un hueco entre una tutoría y una reunión de equipo. Tiene una hora, un organizador y un enlace. Al verla en el calendario, resulta fácil pensar que alguien la ha comprobado antes: quizá la aceptamos hace días, quizá la añadió una persona con la que trabajamos. Esa sensación de asunto pendiente es precisamente lo que puede aprovechar un engaño.

El calendario nos ayuda a recordar compromisos; no certifica que todos los mensajes que muestra sean fiables. Una convocatoria inesperada puede ser legítima, un error de destinatario o un intento de llevarnos a una web falsa. Distinguir esas posibilidades exige fijarse en cómo ha llegado y en qué nos pide hacer, sin convertir cada reunión en una investigación.

Cómo acaba una cita ahí

Las invitaciones permiten coordinar personas que utilizan servicios distintos. Un fichero con extensión .ics, por ejemplo, puede transportar el asunto, la fecha, el organizador y la descripción de un evento. Es un formato habitual de intercambio entre calendarios. Su extensión no lo convierte en peligroso, pero tampoco acredita a quien lo envía.

Según el servicio y sus ajustes, una invitación puede aparecer en la agenda antes de que la aceptemos expresamente. En otros casos llega primero al correo y solo se incorpora tras responder. También existen calendarios compartidos o suscripciones que muestran eventos añadidos por otras personas. Por eso, encontrar algo que no recuerdas haber creado no demuestra, por sí solo, que alguien haya entrado en tu cuenta.

Conviene distinguir además una invitación de una reserva extraída automáticamente de un correo. Algunos servicios crean recordatorios a partir de billetes o alojamientos; modificar esa función no equivale necesariamente a cambiar cómo se gestionan las solicitudes de reunión. Si un evento se repite o vuelve a aparecer, identificar el calendario del que procede ayuda más que ir borrándolo sin entender su origen.

El contenido tampoco queda limitado a una fecha. La descripción puede incluir un enlace, un teléfono o un archivo. El intento de fraude empieza cuando ese espacio se utiliza para pedir una acción ajena al compromiso aparente: confirmar un cobro, recuperar una cuenta o abrir un documento que exige identificarse de nuevo. La cita sirve de envoltorio.

El recordatorio añade presión

En la bandeja de entrada solemos decidir qué merece atención. Un aviso del calendario llega con una tarea implícita: ahora toca hacer esto. Si quedan pocos minutos, comprobar la convocatoria parece un retraso incómodo. El engaño puede apoyarse en esa disposición a cumplir, sin necesidad de un mensaje amenazante ni de una historia espectacular.

Pensemos en una situación hipotética: estás esperando una reunión con una entidad colaboradora y aparece otra convocatoria sobre el mismo proyecto. La coincidencia merece atención, aunque no resuelve la duda. Una actividad anunciada públicamente puede dar contexto a una invitación falsa; también puede haber una modificación auténtica. La decisión útil consiste en confirmar el cambio antes de utilizar el nuevo enlace.

En una tutoría ocurre algo diferente. El alumnado necesita saber dónde entrar y el profesorado quiere evitar que una confusión deje a alguien fuera. Mantener un lugar de referencia para los detalles de acceso reduce esa incertidumbre. Si recibes instrucciones incompatibles con lo acordado, consulta ese espacio o retoma una conversación conocida en lugar de elegir la invitación que parece más reciente.

Qué enseñan las campañas recientes

El problema tiene ejemplos documentados. En una investigación publicada el 1 de octubre de 2026, Material Security describió una campaña observada desde mediados de agosto que utilizaba invitaciones de Google Calendar para conducir a usuarios corporativos hacia un proceso de identificación controlado por los atacantes. Algunas llegaban desde cuentas ya comprometidas de organizaciones con las que los destinatarios habían mantenido contacto.

La trampa podía interponerse entre la persona y el servicio auténtico y aprovechar la sesión abierta durante el proceso. Una sesión es el permiso que mantiene el navegador identificado después de entrar. Su robo puede permitir actuar desde la cuenta sin tener que repetir todo el inicio de sesión. No hace falta aprender el mecanismo técnico para entender la consecuencia: completar una comprobación auténtica desde un recorrido fraudulento puede seguir siendo peligroso.

En su actualización del 28 de octubre, la empresa señaló que la actividad de aquella campaña parecía haberse dispersado y terminado, después de cambiar también sus señuelos hacia avisos de documentos compartidos. Es una observación sobre la operación investigada, no una garantía de que el abuso del calendario haya desaparecido. Tampoco demuestra que se haya producido un incidente en Comillas ni permite trasladar sus datos a nuestra comunidad.

Otra variante evita incluso la página de acceso. Malwarebytes documentó en marzo avisos falsos de renovación enviados como invitaciones: presentaban un supuesto cargo y dirigían a un teléfono para reclamarlo. La urgencia nacía del deseo razonable de detener un pago. Una anotación de calendario no prueba que exista una deuda, del mismo modo que una llamada al número incluido en ella no confirma quién está al otro lado.

Comprobar la reunión sin seguir el señuelo

Antes de entrar en una cita que no encaja, mira el organizador y la dirección completa, el asunto y la relación con lo que esperabas. Un nombre conocido es una pista, no una firma de autenticidad. Una dirección ajena a la Universidad tampoco prueba fraude: la colaboración académica incluye entidades externas. Lo que importa es si esa persona puede explicar de forma coherente la convocatoria y la acción solicitada.

La comprobación pierde valor cuando utiliza únicamente los datos del propio evento. Si dudas de una convocatoria de un proveedor, recupera su contacto de una relación anterior o de una fuente oficial que ya conozcas. Si parece enviada por alguien del equipo, pregunta por un canal habitual independiente. Responder a la misma invitación puede llevar la consulta a quien la preparó.

Para una reunión ya acordada, vuelve al acceso confirmado previamente o a la aplicación que utilizas de forma habitual. Si hay un cambio real de sala o plataforma, quien la organiza podrá aclararlo por esa vía. Se trata de resolver una discrepancia concreta, no de exigir comprobaciones extraordinarias a todas las personas que nos convocan.

Presta especial atención cuando el supuesto acceso a la reunión deriva hacia otra cosa: instalar una herramienta desconocida, entregar datos bancarios, facilitar códigos o aprobar una solicitud que no puedes relacionar con un acceso iniciado conscientemente. Que una videollamada pueda requerir identificación es normal; que lo haga no autentica cualquier página que se presente como entrada. Si el recorrido te desconcierta, detente y confirma cómo acceder.

Retirar el evento sin abrir otra puerta

Si has identificado una invitación como fraudulenta, no necesitas contestar al organizador para demostrar que la has detectado. Utiliza las opciones de gestión o denuncia del propio servicio cuando estén disponibles. Si al retirarla se ofrece enviar una respuesta, evita comunicarte con ese remitente. La secuencia y los nombres de los controles varían entre aplicaciones y versiones; no merece la pena improvisar con instrucciones que no coinciden con tu pantalla.

Google Calendar permite limitar qué invitaciones se añaden automáticamente, con opciones como las de remitentes conocidos o las incorporadas después de responder. Esas preferencias afectan a las invitaciones futuras y, en cuentas educativas o de trabajo, algunas pueden depender de la administración. Restringir la incorporación automática reduce sorpresas, pero obliga a seguir atendiendo las convocatorias legítimas que llegan por correo.

El servicio también dispone de bloqueo de organizadores, con efectos que pueden extenderse a otros productos de la misma cuenta. En Outlook, las posibilidades de informar sobre un evento dependen de la versión y del entorno. Estas funciones generales no confirman qué controles están habilitados en Comillas. Si no encuentras una opción adecuada, pide orientación por el canal institucional; evita instalar un limpiador de calendario recomendado dentro del propio aviso sospechoso.

La agenda también cuenta cosas sobre ti

Al enviar una convocatoria legítima, la seguridad empieza en lo que decides incluir. Para una tutoría sobre una situación personal, un asunto neutro suele bastar para localizar la cita. El detalle que permita prepararla puede compartirse por el canal adecuado con quienes lo necesiten. Escribirlo todo en el título facilita que aparezca en notificaciones, pantallas compartidas o agendas a las que otras personas tienen acceso.

Compartir disponibilidad y compartir el contenido de las citas no son lo mismo. Cuando coordines un grupo, revisa el nivel de información que necesita consultar: encontrar un hueco común no suele exigir leer el motivo de cada reunión. La visibilidad efectiva depende de los permisos y de las funciones del servicio; una etiqueta de evento privado no sustituye esa revisión.

También conviene cuidar las listas de asistentes y el reenvío. Una invitación puede revelar contactos o detalles de colaboración que no deberían circular fuera de su contexto. Para advertir a un compañero sobre un posible fraude, describe el problema sin reenviar la convocatoria a un grupo. Así evitas distribuir sus enlaces y los datos de las personas que figuren en ella.

Si ya has seguido las instrucciones

Deja de interactuar con la página, el teléfono o la persona que te está guiando. Anota aproximadamente cuándo ocurrió, qué evento era y qué hiciste: abrir un enlace, introducir información, aprobar un acceso o descargar algo. Conserva el mensaje original y las evidencias útiles sin volver al sitio para conseguir más detalles. Esa diferencia entre acciones ayuda a valorar el alcance; haber visto una cita no equivale a haber entregado una cuenta.

Comunícalo pronto mediante Jira si afecta a recursos o información de la Universidad. No incluyas contraseñas ni códigos en el aviso. Si facilitaste credenciales, cambia la contraseña desde el acceso oficial y un dispositivo de confianza, y solicita orientación sobre sesiones o autorizaciones que puedan seguir activas. Si hubo datos bancarios o un pago, contacta además con tu entidad por una vía conocida. Ninguna de estas medidas garantiza recuperar dinero o cerrar por sí sola todos los accesos.

La agenda resulta útil porque nos permite dejar de recordar cada detalle. Podemos conservar esa comodidad sin conceder a una cita más autoridad de la que tiene. Cuando una convocatoria inesperada pide algo con consecuencias, lo decisivo es recuperar el acuerdo con quien debería estar al otro lado. El calendario reserva tiempo; la confianza se confirma en la relación.