Gmail es uno de los servicios de correo electrónico más utilizados en todo el mundo, conocido por su facilidad de uso y su protección de usuario mejorada con protocolos de seguridad de varios niveles. Sin embargo, a pesar de estas medidas, la plataforma sigue siendo vulnerable a los ataques de phishing, en los que los ciberdelincuentes emplean nuevas técnicas para acceder a las cuentas de Gmail.
Según reporta BleepingComputer, los responsables de esta campaña han sido lo suficientemente habilidosos como para generar un mensaje fraudulento que parece provenir de no-reply@accounts.google.com, la dirección que usan los de Mountain View para enviar notificaciones verídicas a los usuarios.
TE PUEDE INTERESAR: Hackers usan herramientas de conversión de PDF para propagar malware: así lo hacen
Esta nueva estafa de phishing puede costarte tu cuenta de Gmail
- En los casos que se han reportado hasta el momento, quienes han recibido el mensaje en cuestión se han topado con un contenido algo extraño.
- Específicamente, una alerta por una supuesta citación judicial sobre algún tipo de contenido almacenado en su cuenta de Google. Por ello, indican a las personas que deben ingresar a un sitio web falso que simula ser una página de soporte para iniciar sesión con su usuario y contraseña de Gmail.
- Al tratar de loguearse, la información de las cuentas de Gmail queda en manos de los actores maliciosos. De modo que luego pueden iniciar sesión y cambiar la contraseña para asumir el control de las mismas y de todo su contenido, robándoselas a sus legítimos dueños.
- Los piratas informáticos detrás del ataque han logrado engañar a Google y al mecanismo DKIM (DomainKeys Identified Mail), que se encarga de firmar y validar la autenticidad de los correos electrónicos en Gmail y plataformas similares.
Cómo funciona el ataque de phishing en Gmail
- El primer paso de los atacantes fue registrar una dirección de e-mail en formato me@ejemplo.
- Luego, crearon una aplicación de Google OAuth y usaron el contenido del mensaje malicioso como el nombre de esta. Así, al conectarla con su cuenta de Google Workspace, el sistema les envió una advertencia de seguridad a su propio Gmail sobre ese intento de vinculación.
- Una vez lograron que Google les enviará una advertencia legítima, pero adaptada especialmente a su intento de estafa, comenzaron a reenviarla a todas sus potenciales víctimas (seguramente en forma de copia de carbono oculta).
- Como el campo ‘De’ indicaba no-reply@accounts.google.com, y el campo ‘Para’ iniciaba con ‘me’ (mi, en inglés), los atacantes podían confundir a los usuarios de Gmail de un modo inesperado.
- El cuerpo del mensaje falso tenía un formato bastante extraño debido a que se extraía del nombre de la app de Google OAuth. De hecho, los enlaces no estaban hipervinculados, sino en formato de texto plano para copiar y pegar en el navegador. Aun así, al tratarse de un mensaje firmado y validado por Google, abría la puerta a engañar a aquellos usuarios no demasiado amigos de la tecnología.
- El correo engañoso redirigía a una página creada con Google Sites, con la cual los piratas falsificaban la web de soporte de Google e incluían una pantalla de inicio de sesión de Gmail bastante convincente. Con esta combinación, entonces, podían robar los datos de personas desprevenidas.
¿Cómo detectar este tipo de fraudes?
- Los fraudes de phishing han evolucionado. Ya no dependen de errores ortográficos ni direcciones sospechosas. Ahora se camuflan perfectamente entre comunicaciones legítimas.
- Enlaces sospechosos a subdominios como ‘sites.google.com’ en lugar de ‘accounts.google.com’.
- Correos electrónicos inesperados que nos exigen acciones inmediatas.
- Mensajes que, aunque parecen legítimos, provienen de cadenas de reenvío inusuales.
- Solicitudes para subir documentos o iniciar sesión fuera del contexto habitual.
Recomendaciones de seguridad
- No hagas clic en enlaces de correos sospechosos, incluso si parecen legítimos.
- Verifica siempre la URL de las páginas a las que accedes.
- Habilita la verificación en dos pasos en tu cuenta de Google.
- Si eres profesional, usa un ‘sandbox’.
Foto: Andrew Chen (X) / DIDIER PETIT en Pixabay.