Una invitación de Google Calendar que parece llegar de un contacto habitual puede ser el arranque de un robo de cuenta, y la verificación en dos pasos por SMS o con códigos no basta para frenarlo. Es lo que describe la firma de seguridad Material Security en una campaña que ha bautizado como «Operation CloudFire», activa según sus datos desde mediados de agosto de 2026. Los atacantes envían invitaciones con enlaces a una página que retransmite en directo el inicio de sesión real de Google y se quedan con la sesión del usuario. Hay ajustes y hábitos concretos que reducen mucho el riesgo.
Las claves para protegerse del phishing con invitaciones de Google Calendar en 30 segundos
- La campaña usa invitaciones de calendario falsas, a veces desde buzones reales comprometidos, para robar la sesión de Google.
- En Calendar se puede elegir que solo entren solas las invitaciones de remitentes conocidos.
- Nunca conviene iniciar sesión desde el enlace de una invitación o de un documento compartido.
- Las llaves de acceso resisten este tipo de engaño; los códigos por SMS, no.
- Si hay dudas, toca revisar los dispositivos conectados y cerrar los desconocidos.
El funcionamiento técnico del ataque se cuenta con detalle en el artículo de opensecurity.es sobre esta campaña de phishing con Google Calendar. Lo esencial para el usuario es esto: la página falsa no es una copia mal hecha, sino la pantalla auténtica de Google servida a través de un intermediario. La contraseña y el código que se introducen llegan a Google, pero también al atacante, que se queda con la cookie que mantiene la sesión abierta. Por eso los trucos de siempre, como fijarse en errores de diseño, sirven de poco aquí.
Las cifras de la campaña proceden de Material Security, que la difundió a través de una pieza patrocinada en BleepingComputer, y reflejan solo lo que la empresa ha visto entre sus clientes: más de 68.000 mensajes bloqueados en un mes. Material también señala que los temas de los señuelos han pasado a incluir invitaciones para compartir documentos de Google Drive, así que los consejos que siguen sirven igual para ese tipo de avisos.
Cambia este ajuste de Google Calendar
Por defecto, Google Calendar añade a la agenda las invitaciones de cualquiera. Según la ayuda oficial de Google, el cambio se hace desde un ordenador en pocos pasos:
- Abrir Google Calendar y pulsar arriba a la derecha en el icono de Configuración y después en Configuración.
- En la pestaña General, entrar en Configuración de los eventos y luego en Añadir invitaciones a mi calendario.
- Seleccionar Solo si el remitente es conocido.
Google considera conocido a quien está en los contactos, pertenece a la misma organización o es alguien con quien ya se ha interactuado. La ayuda advierte de que esta opción puede revelar a los remitentes que no figuran entre los contactos. Hay un límite que conviene tener claro: esta campaña usa a menudo buzones comprometidos de empresas con las que la víctima ya se escribe, así que el ajuste reduce el spam, pero no sustituye a la prudencia. En cuentas de empresa, el administrador puede haber fijado qué opciones están disponibles.
Hábitos que cortan el ataque antes de que empiece
La regla más útil es sencilla: no iniciar sesión desde el enlace de una invitación, de un aviso de buzón de voz o de un documento compartido inesperado. Si el mensaje dice que hay algo pendiente en Drive, Gmail o cualquier servicio de Google, lo seguro es abrir ese servicio escribiendo la dirección o desde un marcador, y comprobar allí si el aviso existe. Si una invitación llega de un contacto real pero con un tono extraño (una citación judicial, un pago atrasado, una solicitud urgente de propuesta), vale la pena confirmarlo con esa persona por otra vía.
El gestor de contraseñas funciona también como detector. Estas herramientas asocian cada credencial al dominio donde se guardó, de modo que no ofrecen rellenar la contraseña de Google en un dominio distinto. Si el gestor no propone autocompletar en una pantalla que dice ser de Google, es una señal para parar y no teclear la contraseña a mano.
La defensa más sólida es pasar a las llaves de acceso (passkeys). La ayuda de Google explica que no se pueden compartir, copiar, escribir ni dar por error a otra persona, y que por eso están más protegidas contra el phishing: la llave solo responde ante el sitio legítimo, no ante una página intermedia. Se pueden crear en un teléfono con Android 9 o iOS 16, en ordenadores con Windows 10, macOS Ventura o ChromeOS 109 (o versiones posteriores) y en llaves de seguridad físicas compatibles con FIDO2. Las llaves de acceso de la cuenta se consultan en myaccount.google.com/signinoptions/passkeys. Según Material, en esta campaña los atacantes reenvían SMS, códigos de aplicaciones autenticadoras, la coincidencia de números y la recuperación por teléfono, así que esos métodos no ofrecen la misma protección.
Google ya se ha movido en otras ocasiones para reforzar el acceso a las cuentas, como cuando empezó a permitir recuperar cuentas con un vídeo selfie, pero ninguna medida de la plataforma sustituye a las que dependen del propio usuario.
Si ya has pinchado: sesiones, dispositivos y denuncia
Quien haya introducido su contraseña desde una invitación sospechosa debe actuar rápido. Según la ayuda de Google, en myaccount.google.com, dentro de Seguridad e inicio de sesión, el panel Tus dispositivos da acceso a Gestionar todos los dispositivos. Ahí se puede tocar cada equipo que no se reconozca y pulsar Cerrar sesión. También se puede ir directamente a google.com/devices. Después conviene cambiar la contraseña y añadir una llave de acceso si todavía no se tiene.
La invitación también se puede denunciar. Desde un ordenador, basta con abrir el evento en Google Calendar y pulsar arriba a la derecha en Más acciones y después en Marcar como spam. Google indica que el evento desaparece del calendario y que, si se repite, se elimina toda la serie; solo funciona con eventos enviados desde Google Calendar. En cuentas de empresa o de un centro educativo, además, hay que avisar al departamento de informática para que revise la actividad de la cuenta. En España, la línea 017 de INCIBE ofrece ayuda gratuita en ciberseguridad a particulares y empresas.
El phishing que suplanta a grandes plataformas no es nuevo, y otras marcas lo sufren a mayor escala, como muestra el informe en el que Microsoft aparecía como la marca más suplantada en el segundo trimestre de 2026. Lo que cambia en este caso es el canal: el calendario, un lugar donde pocos usuarios esperan encontrar un fraude.
Preguntas frecuentes
¿Cómo evito que aparezcan invitaciones de desconocidos en Google Calendar?
En Configuración, pestaña General, Configuración de los eventos, opción Añadir invitaciones a mi calendario, hay que elegir Solo si el remitente es conocido.
¿La verificación en dos pasos por SMS me protege de este ataque?
No del todo. Según Material Security, el atacante reenvía en tiempo real los códigos SMS y de aplicaciones autenticadoras, así que puede quedarse con la sesión igualmente.
¿Cómo cierro sesión en dispositivos que no reconozco?
En myaccount.google.com, en Seguridad e inicio de sesión, dentro de Tus dispositivos, se pulsa Gestionar todos los dispositivos, se elige el equipo y se toca Cerrar sesión.
¿Cómo denuncio una invitación falsa?
Abriendo el evento en Google Calendar desde un ordenador y pulsando Más acciones y Marcar como spam. El evento se elimina del calendario.
Fuentes:
- opensecurity.es: Una campaña de phishing con Google Calendar roba sesiones y salta la MFA
- BleepingComputer: Google Calendar phishing campaign hijacks sessions, bypasses MFA (contenido patrocinado por Material Security)
- Ayuda de Google Calendar: denunciar invitaciones y eventos de calendario inapropiados
- Ayuda de Cuenta de Google: iniciar sesión con una llave de acceso en lugar de una contraseña
- Ayuda de Cuenta de Google: ver los dispositivos con acceso a la cuenta
