Phishing a través del calendario de iCloud: así es la estafa más sofisticada que afecta a usuarios de Apple

Durante la segunda semana de septiembre de 2025, se ha detectado una oleada de estafas y ciberataques que explotan el calendario de iCloud de Apple, con un alarmante repunte de invitaciones maliciosas y notificaciones de eventos que simulan pagos, sorteos de criptomonedas o falsas facturas. Estos ataques aprovechan la legitimidad de las invitaciones del calendario —que provienen de servidores reales de Apple— para eludir filtros de spam y engañar incluso a los usuarios más precavidos, afectando tanto a particulares como a empresas a escala global.

‍

¿Cómo funciona la estafa a través del calendario de iCloud?

• Los cibercriminales envían invitaciones de calendario a través de iCloud —ya sea por correo o directamente como evento— utilizando direcciones auténticas como noreply@email.apple.com.
• El evento incluye mensajes de alerta simulando compras en PayPal, ganadores de sorteos de criptomonedas o notificaciones urgentes (“se ha facturado 599$ a su cuenta”, “verifique su wallet”, “llame al soporte”).
• El contenido fraudulento suele estar en la sección de notas o como enlaces incrustados que llevan a páginas de phishing o solicitan llamar a números falsos de soporte; una vez que el usuario llama o interactúa, los estafadores intentan obtener credenciales, instalar malware o realizar robos directos de saldo.
• Estas invitaciones eluden controles de autenticación como SPF, DKIM o DMARC y superan los filtros clásicos de spam, ya que viajan por los servidores legítimos de Apple y, frecuentemente, se reenvían usando listas de Microsoft 365, logrando aún mayor distribución fraudulenta.

‍

Estafas relacionadas con criptomonedas: la nueva tendencia

• La mayoría de las campañas recientes incluyen temáticas ligadas a inversiones en cripto, reembolsos por comisiones, avisos de billeteras bloqueadas o sorteos falsos prometiendo ganancias rápidas.
• Haz clic en el enlace del evento y puedes acabar en una web que simula una wallet para “reclamar” el premio, pero que realmente roba tus claves o fondos, con pérdidas millonarias reportadas según el último resumen de 9to5Mac y Forbes.
• Expertos en ciberseguridad advierten que los ataques son selectivos y personalizables, lo que hace que los avisos suenen creíbles: los delincuentes utilizan información pública y bases de datos filtradas para afinar su mensaje.

‍

¿Por qué estos ataques son tan eficaces?

• Utilizan recursos legítimos: las invitaciones provienen de servidores oficiales, creando confianza en los usuarios desprevenidos.
• Superan los filtros clásicos: no son detectadas como spam ni malware, y los eventos aparecen automáticamente si la opción está activada.
• Alto grado de personalización: los estafadores pueden incluir el nombre del usuario, referencias a servicios conocidos o detalles sacados de filtraciones de datos públicas recientes, aumentando la efectividad del engaño.

‍

Recomendaciones para usuarios de Apple e iCloud Calendar

• Revisa tu calendario: elimina cualquier evento sospechoso que no hayas creado tú, y evita interactuar con enlaces o números de teléfono desconocidos.
• Desactiva la autoaceptación de invitaciones a eventos de iCloud en los ajustes de tu cuenta.
• No llames nunca a los números de “soporte” ni verifiques datos fuera de los canales oficiales de Apple.
• Denuncia los eventos fraudulentos usando la opción Reportar Basura en iCloud.com.
• Refuerza tus cuentas con autenticación en dos factores y monitoriza frecuentemente tus dispositivos ante cualquier aviso inusual.

‍

🛡️ Consulta tu auditoría de seguridad con Apolo Cybersecurity y protege tus cuentas y empleados

El repunte de campañas de phishing a través del calendario de iCloud demuestra cómo los atacantes pueden aprovechar las propias plataformas legítimas para vencer la confianza y los filtros de seguridad. Verifica siempre el origen de cualquier evento inesperado, y si tienes dudas, consulta con soporte oficial. La formación y la prevención siguen siendo el mejor escudo para usuarios y empresas de Apple.

¿Quieres blindar a tu organización frente a campañas de phishing cada vez más sofisticadas?

‍