How can I tell if a calendar invite is a phishing scam?

Check the sender's email address carefully—scammers often use addresses that look similar to legitimate ones but contain slight misspellings or unfamiliar domains. Legitimate meeting requests from your company will come from your organization's email domain, not from generic Gmail or Outlook addresses. If you don't recognize the sender, weren't expecting the meeting, or the invite asks you to click a link to verify your password or confirm account details, it's almost certainly a phishing attempt—legitimate companies never ask for passwords through calendar invites.

What should I do if I already clicked a link in a calendar phishing invite?

Immediately change your password for the account you clicked from (email, calendar, corporate network) using a device that wasn't used to click the malicious link, and use a password you've never used before. Contact your IT department or security team right away to report the incident and ask them to monitor your account for unauthorized access. If you entered credentials on a fake login page, you should also consider monitoring your financial accounts and credit reports for signs of identity theft over the next few months.

Why do calendar phishing invites bypass my email security?

Calendar applications like Google Calendar and Outlook often sync invitations directly to your calendar without routing them through email security filters, which means they slip past spam detection systems that would catch phishing emails. Additionally, calendar invites from calendar platforms themselves (not email) are treated as lower-risk by many security systems, giving scammers an advantage. Attackers also exploit the fact that you're more likely to trust a calendar notification than a suspicious email, since calendar invites typically come from known contacts or appear to be system-generated.

How do I prevent calendar phishing attacks from targeting me?

Disable the auto-add feature in your calendar application—in Google Calendar, go to Settings and turn off 'Add invitations to my calendar' under Events; in Outlook, adjust your invitation handling preferences to require manual acceptance. Before clicking any links in calendar invites, verify the sender's email address by visiting the company's official website directly and checking if the meeting is legitimate through another communication channel. Be especially suspicious of urgent requests for password resets, account verification, or security updates through calendar invites, as legitimate IT departments communicate these through secure internal channels, not calendar notifications.

If I accepted a calendar phishing invite, does that mean my account is compromised?

Simply accepting a calendar invitation doesn't compromise your account—the real danger comes from clicking embedded links or responding with sensitive information like passwords or personal details. However, if you clicked a link within the invite or filled out a form asking for credentials, your account is likely compromised and you should change your password immediately and alert your IT team. Monitor your account activity for unusual logins or sent emails, and consider enabling two-factor authentication if your calendar system supports it to prevent unauthorized access even if your password has been stolen.

MédioPerda média: $1,000Duração típica: 1-3 days

Phishing por Convite de Calendário: Como Golpistas Exploram Sua Agenda

O phishing por convite de calendário é um ataque sofisticado de engenharia social que explora a funcionalidade de aceitação automática em aplicativos de calendário populares como Google Calendar, Outlook e Apple Calendar. Golpistas enviam convites de reunião aparentemente legítimos que contêm links maliciosos, portais de login falsos ou solicitações de informações sensíveis. De acordo com o Centro de Reclamações de Crime na Internet do FBI, os ataques de phishing baseados em calendário aumentaram 347% entre 2021 e 2023, com vítimas perdendo uma média de R$ 5.000 por incidente através do roubo de credenciais e subsequente comprometimento de conta. Este vetor de ataque é particularmente eficaz porque os convites de calendário frequentemente contornam filtros tradicionais de segurança de email e aparecem diretamente nas agendas dos usuários sem exigir aceitação explícita. Os convites tipicamente se passam por marcas confiáveis, departamentos de TI, pessoal de RH ou contatos comerciais, criando urgência em torno de redefinições de senha, verificações de conta ou reuniões obrigatórias. Uma vez que as vítimas clicam em links incorporados ou respondem com credenciais, os atacantes ganham acesso a contas de email, sistemas financeiros ou redes corporativas. O golpe evoluiu além do phishing simples para incluir esquemas de investimento em criptomoedas, notificações falsas de prêmios e fraudes de suporte técnico entregues através de spam de calendário. Pesquisadores de segurança da Kaspersky relataram que 23% das organizações experimentaram pelo menos um ataque de phishing de calendário em 2023, com pequenos negócios sendo desproporcionalmente afetados devido à infraestrutura de segurança de email menos sofisticada. O ciclo de ataque típico dura 1 a 3 dias desde o convite inicial até o comprometimento de credenciais, tornando a detecção e resposta rápidas críticas.

Táticas comuns Como identificar Como se proteger Casos reais Perguntas frequentes Onde denunciar

Táticas comuns

•Golpistas exploram recursos de adição automática de calendário enviando convites que se adicionam automaticamente às agendas das vítimas sem exigir aceitação, garantindo visibilidade mesmo que os usuários ignorem sua caixa de entrada.
•Atacantes se passam por departamentos de TI ou administradores de sistemas, enviando solicitações urgentes de reunião sobre redefinições obrigatórias de senha, atualizações de segurança ou verificação de conta com links de phishing incorporados.
•Fraudadores criam convites falsas de webinars ou sessões de treinamento de marcas reconhecíveis como Microsoft, Google ou instituições financeiras, com links de registro levando a páginas de coleta de credenciais.
•Golpistas programam eventos de calendário recorrentes contendo oportunidades de investimento em criptomoedas ou reivindicações de prêmios, garantindo exposição repetida a conteúdo malicioso ao longo de semanas ou meses.
•Atacantes enviam convites de calendário com anexos de documentos disfarçados de agendas de reunião, mas na verdade contendo malware ou links para portais de login falsos que roubam credenciais.
•Fraudadores usam plataformas de calendário legítimas para enviar convites de contas comprometidas, fazendo os convites parecerem vir de colegas confiáveis ou contatos comerciais e contornando filtros de segurança de email.

Como identificar

Convites de calendário inesperados aparecem em sua agenda de remetentes desconhecidos ou endereços com erros ortográficos leves em domínios legítimos de empresas (como 'microsof1.com.br' em vez de 'microsoft.com.br').
O convite contém linguagem urgente exigindo ação imediata sobre segurança de conta, expiração de senha ou acesso ao sistema, pressionando você a clicar em links sem verificação.
Os detalhes da reunião incluem saudações genéricas como 'Caro Usuário' em vez de seu nome real, ou contêm erros gramaticais e fraseado desajeitado inconsistente com comunicações profissionais.
Eventos de calendário incluem URLs encurtadas, links suspeitos ou solicitações para fazer login através de links em vez de direcioná-lo a navegar para sites oficiais de forma independente.
O convite está programado para horários estranhos (como 3:00 AM) ou não contém detalhes reais de conexão de reunião, como links do Zoom, números de telefone ou locais físicos para supostamente importantes reuniões.
Você recebe múltiplos convites de calendário em rápida sucessão de diferentes remetentes promovendo o mesmo serviço, oportunidade de investimento ou reivindicação de prêmio, indicando campanhas de spam coordenadas.

Como se proteger

Desative a aceitação automática de eventos de calendário nas configurações do seu calendário para Google Calendar (Configurações > Configurações de Eventos > 'Adicionar automaticamente convites'), Outlook (Opções de Calendário > Aceitar/Recusar Automaticamente) e outras plataformas.
Verifique convites de reunião suspeitos contatando o suposto remetente através de um canal de comunicação separado e confiável (chamada telefônica ou mensagem direta) antes de clicar em qualquer link ou fornecer informações.
Ative a autenticação de dois fatores em todas as contas de email e calendário para impedir que atacantes acessem sua conta mesmo que obtenham sua senha através de phishing.
Configure as configurações de privacidade do calendário para impedir que usuários externos adicionem eventos ao seu calendário e defina filtros de email para colocar em quarentena convites de domínios desconhecidos ou suspeitos.
Navegue manualmente para sites oficiais digitando URLs diretamente em seu navegador em vez de clicar em links em convites de calendário, especialmente para redefinições de senha ou verificações de conta.
Denuncie e exclua convites de calendário suspeitos imediatamente sem clicar em links, e marque-os como spam ou phishing em seu aplicativo de calendário para melhorar os algoritmos de filtragem.

Casos reais

Um gerente de marketing recebeu um convite de calendário aparentando ser do Suporte de TI da Microsoft, agendando uma obrigatória 'Reunião de Atualização de Segurança do Office 365' para o dia seguinte. O convite incluía um link para 'verificar sua conta' antes da reunião. Após clicar no link e inserir credenciais, a conta de email da vítima foi comprometida e os atacantes enviaram emails de phishing para todos os contatos, resultando em R$ 6.000 em cobranças fraudulentas de informações de pagamento armazenadas em emails.

Um empresário percebeu seu Google Calendar preenchendo com eventos semanais recorrentes promovendo webinars de investimento em criptomoedas hospedados pelo 'Instituto de Especialistas em Blockchain'. Cada evento continha links de registro prometendo retornos garantidos. Quando a vítima se registrou e transferiu R$ 4.000 para um endereço de carteira fornecido para um 'investimento inicial', os golpistas desapareceram e a carteira foi esvaziada em poucas horas sem forma de recuperar os fundos.

Um profissional de recursos humanos recebeu o que parecia ser um convite de calendário do CEO de sua empresa solicitando uma reunião urgente individual para discutir assuntos confidenciais. O convite incluía um link para revisar um 'documento confidencial' antes da reunião. O link levava a uma página falsa de login da Microsoft que coletou as credenciais do funcionário, que os atacantes então usaram para acessar sistemas de folha de pagamento e redirecionar depósitos diretos de funcionários para contas fraudulentas ao longo de três dias antes da detecção.

Perguntas frequentes

Como posso saber se um convite de calendário é um golpe de phishing?

Verifique cuidadosamente o endereço de e-mail do remetente—golpistas frequentemente usam endereços que parecem legítimos, mas contêm pequenas falhas de ortografia ou domínios desconhecidos. Convites legítimos de reunião da sua empresa virão do domínio de e-mail da sua organização, não de endereços genéricos como Gmail ou Outlook. Se você não reconhecer o remetente, não estava esperando a reunião ou o convite pedir para clicar em um link para verificar sua senha ou confirmar detalhes da conta, é quase certo que seja uma tentativa de phishing—empresas legítimas nunca solicitam senhas por convites de calendário.

O que devo fazer se já cliquei em um link de um convite de phishing no calendário?

Altere imediatamente a senha da conta da qual você clicou (e-mail, calendário, rede corporativa) usando um dispositivo que não tenha sido usado para clicar no link malicioso, e utilize uma senha que nunca tenha usado antes. Contate seu departamento de TI ou equipe de segurança imediatamente para relatar o incidente e pedir que monitorem sua conta para acessos não autorizados. Se você inseriu credenciais em uma página falsa de login, também deve considerar monitorar suas contas financeiras e relatórios de crédito para sinais de roubo de identidade nos próximos meses.

Por que convites de phishing no calendário passam pela segurança do meu e-mail?

Aplicativos de calendário como Google Calendar e Outlook frequentemente sincronizam convites diretamente para seu calendário sem passar pelos filtros de segurança de e-mail, o que faz com que eles escapem dos sistemas de detecção de spam que capturariam e-mails de phishing. Além disso, convites originados das próprias plataformas de calendário (não do e-mail) são tratados como de menor risco por muitos sistemas de segurança, dando vantagem aos golpistas. Atacantes também exploram o fato de que você tende a confiar mais em uma notificação de calendário do que em um e-mail suspeito, já que convites de calendário normalmente vêm de contatos conhecidos ou parecem gerados pelo sistema.

Como posso evitar ataques de phishing via convites de calendário?

Desative o recurso de adição automática no seu aplicativo de calendário—no Google Calendar, vá em Configurações e desligue 'Adicionar convites ao meu calendário' em Eventos; no Outlook, ajuste suas preferências de tratamento de convites para exigir aceitação manual. Antes de clicar em qualquer link em convites de calendário, verifique o endereço de e-mail do remetente visitando diretamente o site oficial da empresa e confirme se a reunião é legítima por outro canal de comunicação. Desconfie especialmente de solicitações urgentes para redefinir senha, verificar conta ou atualizar segurança via convites de calendário, pois departamentos legítimos de TI comunicam isso por canais internos seguros, não por notificações de calendário.

Se eu aceitei um convite de phishing no calendário, isso significa que minha conta foi comprometida?

Aceitar simplesmente um convite de calendário não compromete sua conta—o perigo real vem de clicar em links embutidos ou responder com informações sensíveis como senhas ou dados pessoais. Contudo, se você clicou em um link dentro do convite ou preencheu um formulário solicitando credenciais, sua conta provavelmente foi comprometida e você deve alterar sua senha imediatamente e alertar sua equipe de TI. Monitore a atividade da sua conta para logins incomuns ou e-mails enviados, e considere ativar a autenticação de dois fatores se seu sistema de calendário oferecer suporte, para evitar acessos não autorizados mesmo que sua senha tenha sido roubada.

Onde denunciar — Portugal / Brasil

Canais oficiais na sua região para denunciar este golpe.

Polícia Judiciária - Cibercrime (Portugal)

Cibercrime

Gabinete Cibercrime do Ministério Público — denúncias online.

Visitar →

CERT.PT (Portugal)

Denúncia

Centro Nacional de Cibersegurança — incidentes cibernéticos.

Visitar →

Polícia Federal - DENARC (Brasil)

Cibercrime

Canal de denúncia da Polícia Federal brasileira.

197 Visitar →

PROCON (Brasil)

Defesa do consumidor

Procon — defesa do consumidor (telefone varia por estado).

151 Visitar →

Authoritative Resources

Recognized government and official anti-fraud bodies with guidance on this scam type.

CISA — Cybersecurity & Infrastructure Security AgencyUS FBI IC3 — Internet Crime Complaint CenterUS FTC — Consumer Advice on ScamsUS

Acha que encontrou este golpe?

How to cite this guide

Use this when referencing ScamLens content in articles, research, AI responses, or social media.

According to ScamLens (scamlens.org), phishing por convite de calendário: como golpistas exploram sua agenda is described at https://scamlens.org/pt/encyclopedia/calendar-invite-phishing.

https://scamlens.org/pt/encyclopedia/calendar-invite-phishing

Comece aqui

Verificação de Segurança

Inteligência

Ferramentas e Relatórios

Serviços Premium

Extensão e API