Una invitación a una videollamada, un aviso de documento compartido o un correo de confirmación de entrevista. Cualquiera de estos mensajes puede aparecer en la bandeja de entrada y pasar desapercibido como parte de la rutina diaria. Sin embargo, en la otra cara de la pantalla puede esconderse un ciberdelincuente que ha diseñado cuidadosamente la trampa para conseguir contraseñas, secuestrar cuentas o robar información corporativa. Según el análisis de la firma de seguridad Kaspersky, entre julio de 2025 y junio de 2026 se contabilizaron 4,7 millones de intentos de ataque relacionados con plataformas de trabajo, siendo Zoom y Outlook los señuelos más frecuentes.
El engaño no siempre implica grandes alardes técnicos: muchas veces basta con imitar el aspecto de una aplicación que millones de personas usan a diario. En un entorno donde se reciben decenas de notificaciones y correos de sistemas tan comunes como Microsoft Teams, OneDrive o Zoom, una invitación fraudulenta puede parecer simplemente otro compromiso del calendario. La falta de sospecha inicial es, precisamente, lo que permite que estas campañas tengan éxito y que muchos usuarios, incluso con formación, caigan en la trampa.
Zoom y Outlook, los señuelos más explotados por los atacantes
El informe de Kaspersky sobre la superficie digital del 2025-2026 destaca que Zoom fue el principal gancho, con más de 2,6 millones de intentos de ataque detectados en ese período. Outlook se coloca en segundo lugar, con aproximadamente 1,5 millones de intentos, mientras que OneDrive, Microsoft Excel y Teams también fueron utilizados para crear campañas fraudulentas. Estas cifras no significan necesariamente que las aplicaciones tengan un fallo de seguridad; más bien, los delincuentes aprovechan la confianza que generan los nombres conocidos y la frecuencia de su uso para que sus mensajes engañosos pasen inadvertidos.
Las amenazas incluyen diferentes tipos de malware, como descargadores que se ocultan en archivos adjuntos, troyanos capaces de monitorizar actividad y robar datos, y exploits que intentan aprovechar vulnerabilidades del sistema. La mayoría de estas campañas busca que la víctima descargue un documento infectado o haga clic en un enlace que conduce a una página falsa de inicio de sesión. En esos momentos, la falsa sensación de autenticidad se convierte en la puerta de entrada para los cibercriminales.
El fraude por código de dispositivo: la técnica que confunde hasta a los más cautos
Una de las variantes más sofisticadas detectadas por los expertos es el denominado phishing mediante código de dispositivo. En lugar de enviar directamente a la víctima a un sitio falso, el atacante genera un código válido y persuade a la persona para que lo introduzca en la página oficial de Microsoft. Después de ese paso, aunque el usuario tenga activada la verificación en dos pasos, puede estar otorgando permisos a una aplicación controlada por los atacantes, que de esa manera obtienen acceso a correos, documentos de OneDrive y conversaciones de Teams.
La dificultad de identificar estos ataques radica en que parte del proceso se realiza en dominios auténticos. Lo que hace que el sistema de confianza se tambalee es el propio usuario: al recibir un código inesperado y la petición de aprobarlo, muchas personas aceptan sin prestar atención. La recomendación es clara: si no esperas ese tipo de solicitud, no la completes y verifica a través de un canal alternativo con el remitente real.
Falsas entrevistas de trabajo: cuando el fraude utiliza marcas reconocidas
La campaña va más allá de la plataforma laboral. Los investigadores también han detectado mensajes que se hacen pasar por el equipo de reclutamiento de una gran empresa, como Google, para invitar a una entrevista de trabajo. Estas comunicaciones se distribuyen a través de plataformas legítimas como Google AppSheet, lo que otorga un aparente carácter fiable al mensaje. Sin embargo, al pulsar en el enlace se llega a una página de diseño idéntico al de la compañía, pero diseñada para recoger datos personales y contraseñas.
Para una persona que está buscando empleo, esta invitación supone una gran presión para actuar con rapidez. La urgencia y la ilusión son herramientas que aprovechan los delincuentes para lograr que la víctima proporcione la información antes de pensar críticamente. Especialmente en un entorno laboral cada vez más digitalizado, donde contar con perfiles verificados en redes profesionales es fundamental, cualquier oferta espontánea o solicitud de datos sensibles debe ser examinada con detalle y confirmada a través de un contacto directo de la empresa.
Cómo identificar una invitación falsa antes de hacer clic
Para minimizar el riesgo, basta con seguir ciertas pautas de sentido común y seguridad digital. Las soluciones técnicas son útiles, pero la primera barrera la pone el propio usuario. Algunas claves para detectar mensajes fraudulentos son:
- Revisar el remitente real de la comunicación, no solo el nombre mostrado.
- Verificar si el enlace en el mensaje apunta a un dominio diferente del oficial.
- No descargar archivos ni autorizar procesos que no se hayan iniciado explícitamente.
- Desconfiar de códigos de autenticación inesperados o peticiones de permisos raras.
- No compartir contraseñas o datos personales a través de enlaces enviados por correo o mensajería.
La recomendación principal es no entrar en pánico y detenerse unos segundos. Si una invitación parece urgente y exige acción inmediata, la práctica más segura es salirse de la conversación y comprobar la autenticidad llamando directamente a la persona o a la empresa implicada. Las plataformas de videollamada como Zoom no preguntan por tus credenciales para confirmar una reunión; por lo tanto, cualquier solicitud de ese tipo debe tratarse como sospechosa.
En definitiva, la mejor defensa frente a estos ataques se basa en un hábito sencillo: no confiar ciegamente en la apariencia del mensaje y dedicar unos segundos a comprobar la fuente. Mientras los atacantes aprovechan la confianza que generan las herramientas más populares, los usuarios que actúan con escepticismo sano reducen drásticamente el riesgo de que su cuenta se convierta en una puerta abierta al cibercrimen. Las organizaciones, por su parte, deben reforzar la formación en seguridad y crear una cultura donde una petición inesperada no se responda nunca sin verificación previa.