Phishing en Google Calendar secuestra sesiones y bypasea el MFA

BleepingComputer: el calendario se vuelve el vector. La sesión robada vale más que la contraseña.

Una campaña de phishing que abusa de Google Calendar está secuestrando sesiones de usuarios y saltándose el MFA, informó BleepingComputer el 4 de noviembre de 2026.

El truco no es adivinar la contraseña: es hacer que la víctima acepte o abra algo que entrega la cookie de sesión. Con esa sesión, el segundo factor ya quedó atrás.

Para equipos que viven en Workspace, el calendario compartido y las invitaciones masivas son un canal cotidiano. Ese mismo hábito es el que el atacante usa.

Fuente: BleepingComputer: «Google Calendar phishing campaign hijacks sessions, bypasses MFA», 4 de noviembre de 2026.