4 noviembre 2026
Cloud, Noticias, Seguridad
6 minutos de lectura

Phishing en Google Calendar: qué debe revisar una empresa con Workspace

Antonio

Las invitaciones de Google Calendar se han convertido en la puerta de entrada de una campaña de phishing que, según la firma de seguridad Material Security, apunta a cuentas corporativas de Google Workspace y está diseñada para quedarse con la sesión del empleado aunque la empresa exija verificación en dos pasos. El caso, que Material llama «Operation CloudFire» y sitúa en marcha desde mediados de agosto de 2026, vuelve a poner sobre la mesa una pregunta incómoda para los equipos de TI: qué métodos de autenticación siguen sirviendo cuando el atacante se coloca en medio del inicio de sesión.

Las claves del riesgo para empresas con Google Workspace en 20 segundos

Material Security atribuye la campaña al kit Nyasher, que usa un proxy inverso.
Los SMS, códigos y aprobaciones se reenvían a Google en tiempo real.
Desde el 14/08/2026 los administradores pueden limitar qué invitaciones entran solas en Calendar.
Llaves de acceso, llaves FIDO2 y DBSC son las defensas que Google propone.

La mecánica del ataque está explicada en detalle en el análisis de opensecurity.es sobre la campaña de phishing con Google Calendar. En resumen, la víctima recibe una invitación de calendario, a menudo desde el buzón comprometido de una organización con la que ya trabaja, y un enlace que pasa por redirectores de Google y por un filtro Cloudflare Turnstile antes de llegar a una página que reproduce en directo el inicio de sesión real. Todo lo que el usuario teclea o aprueba viaja a Google a través del atacante, que se queda con la cookie de sesión.

Conviene leer las cifras con cautela. Material difundió el caso en BleepingComputer mediante una pieza patrocinada que firma la propia empresa, y todos los datos proceden de la telemetría de sus clientes: 68.676 mensajes bloqueados, 2.112 URL maliciosas analizadas, 897 dominios retirados y 8.570 remitentes comprometidos en 6.354 dominios raíz en un mes de actividad. No hay una estimación independiente del número de cuentas comprometidas ni una declaración de Google sobre el caso.

Por qué el calendario es un punto ciego en la empresa

Muchas organizaciones han invertido años en filtrar el correo, pero el calendario se trata como una herramienta de productividad, no como un canal de entrada. Una invitación aceptada o añadida automáticamente aparece en la agenda, genera recordatorios y lleva el enlace a un lugar donde los empleados no esperan encontrar un fraude. En un entorno de Workspace, además, esa invitación puede llegar desde un proveedor o cliente real cuyo buzón ha sido secuestrado, de modo que las señales de confianza habituales (dominio conocido, relación comercial previa, certificados válidos) juegan a favor del atacante.

Por eso Material plantea que las invitaciones se analicen como una superficie de ataque propia y que la detección combine varias señales, no solo la reputación del remitente o del enlace. La empresa también recomienda revisar los registros de auditoría de Workspace y tener capacidad para revocar sesiones, contener permisos OAuth y restablecer cuentas en torno a una hora después de detectar un compromiso. Esos plazos son la recomendación de un proveedor que vende precisamente herramientas para ello, así que cada organización tendrá que ajustarlos a sus propios procedimientos de respuesta.

El problema no es exclusivo de Google. Según Material, el kit cuenta con una rama para Microsoft 365 todavía sin activar, lo que por ahora es una previsión y no un ataque observado. Quienes gestionan entornos mixtos pueden repasar los cambios con los que Microsoft 365 y Google Workspace han endurecido el acceso al correo, porque buena parte de la lógica defensiva es la misma.

Qué puede tocar el administrador de Workspace

El primer ajuste está en el propio Calendar. Google publicó el 14/08/2026 nuevos controles que permiten a los administradores decidir, por unidad organizativa, qué invitaciones se añaden solas a los calendarios. En la consola de administración, dentro de la configuración avanzada de Calendar, se fija un nivel menos restrictivo (invitaciones de todos, solo de remitentes conocidos o solo las que el usuario ha respondido por correo) y un valor predeterminado. Los usuarios pueden cambiar su preferencia, pero nunca por encima de ese límite. Google indica que los cambios afectan a invitaciones futuras y pueden tardar hasta 24 horas en aplicarse.

Restringir a remitentes conocidos reduce el spam de calendario, pero en esta campaña tiene un límite evidente: si el remitente es un socio con el buzón comprometido, sigue siendo conocido. La opción de añadir solo las invitaciones respondidas por correo es más estricta, aunque obliga a cambiar hábitos y puede generar quejas en equipos con mucha agenda externa.

La defensa de fondo está en la autenticación. Google sostiene en su blog de Workspace que las llaves de acceso son más resistentes al phishing porque cada una está ligada a un servicio concreto y el usuario no puede entregarla a una web intermedia. La compañía permite a los administradores auditar el registro de llaves de acceso y limitarlas a llaves de seguridad físicas, una opción alineada con el estándar FIDO2 que tiene sentido para cuentas con privilegios, directivos y personal de finanzas. Los métodos que Material describe como reenviados por el proxy (SMS, códigos de aplicación, coincidencia de números y recuperación por teléfono) no ofrecen esa garantía.

Sesiones ligadas al dispositivo y acceso según contexto

Aunque la autenticación sea robusta, una cookie robada por otra vía sigue siendo un riesgo. Para ese escenario Google ofrece las credenciales de sesión ligadas al dispositivo (DBSC), en beta abierta y disponibles en Chrome para Windows, que asocian la sesión al equipo donde se inició y dificultan reutilizarla desde otro. Se activan en el apartado de control de sesión de Google de la consola de administración. Al tratarse de una beta limitada a una plataforma, no cubre por ahora todo el parque de una empresa típica.

Google presenta DBSC como complemento del acceso según contexto (context-aware access), que permite condicionar el acceso a las aplicaciones de Workspace a atributos como el estado del dispositivo o la ubicación. Es la pieza que más se parece a lo que en otros entornos se llama acceso condicional: si una sesión válida aparece desde un equipo no gestionado, la política puede bloquearla aunque la cookie sea auténtica. Su disponibilidad depende de la edición de Workspace contratada, algo que cada organización debe comprobar antes de planificar el despliegue.

La combinación que se desprende de la documentación de Google y del caso descrito por Material es clara en su orden: limitar qué entra solo en los calendarios, llevar a los usuarios críticos a llaves de acceso o llaves FIDO2, atar las sesiones al dispositivo donde sea posible y condicionar el acceso al contexto. Ninguna de esas medidas aparece en la información disponible como solución completa por sí sola.

Preguntas frecuentes

¿Pueden los administradores de Workspace bloquear invitaciones de desconocidos?

Sí. Desde el 14/08/2026 pueden fijar por unidad organizativa el nivel menos restrictivo para añadir invitaciones a Calendar, incluido solo de remitentes conocidos o solo las respondidas por correo.

¿Basta con exigir verificación en dos pasos?

No frente a este tipo de ataque. Según Material Security, el proxy reenvía en tiempo real SMS, códigos de aplicación y aprobaciones, así que el atacante obtiene la sesión igualmente.

¿Qué aporta DBSC a una empresa?

Vincula la cookie de sesión al dispositivo donde se inició, lo que dificulta reutilizarla desde otro equipo. Está en beta abierta y funciona en Chrome para Windows.