Le prime cose da fare, prima ancora di toccare il link, sono abbastanza semplici:

• non aprire il collegamento dentro l’evento;
• non confermare la partecipazione;
• da Google Calendar controllare le impostazioni sugli inviti automatici;
• verificare anche se Gmail sta aggiungendo eventi al calendario in automatico;
• segnalare l’evento come spam quando possibile;
• se il link è già stato aperto, cambiare password e controllare le sessioni dell’account Google.

Il punto delicato è che non sempre l’evento arriva perché qualcuno ha bucato l’account: spesso sfrutta proprio le impostazioni di invito automatico di Calendar/Gmail, quindi vale la pena sistemarle prima che il calendario diventi una bacheca per truffe.

Ho raccolto qui i passaggi da controllare su Android e account Google, in ordine pratico:
https://androidlab.it/google-calendar-android-phishing-inviti-falsi-guida/