Google ha confirmado recientemente un sofisticado ataque de phishing a sus usuarios de Gmail. Este tipo de amenaza, conocido como phishing, consiste en engañar a las personas para que proporcionen información confidencial, como contraseñas o datos bancarios, a través de correos electrónicos o llamadas fraudulentas.
El FBI ha emitido una advertencia reiterada, destacando que las empresas legítimas nunca iniciarán contacto no solicitado con personas. Es crucial no responder a llamadas o correos electrónicos inesperados que soliciten información personal o financiera.
Para protegerse, Google recomienda no proporcionar información personal a través de correos electrónicos sospechosos y verificar siempre la autenticidad de las comunicaciones recibidas.
Un ataque muy sofisticado que usa IA para mejorarlo
A medida que las llamadas telefónicas impulsadas por IA que imitan voces humanas se han vuelto increíblemente realistas, un nuevo informe de Forbes advirtió que los 2.500 millones de usuarios del servicio de correo electrónico podrían ser atacados por actores «maliciosos» que están empleando IA para engañar a los clientes para que entreguen credenciales.
El medio informó que los ciberdelincuentes despliegan llamadas telefónicas haciéndose pasar por el soporte de Google, con un identificador de llamadas que parece convincentemente legítimo. El técnico puede decir que la cuenta de la persona se ha visto comprometida de alguna manera o que está intentando recuperar la cuenta.
El ataque
La víctima era un ingeniero muy experto en tecnología, que lo describió como «el ataque de phishing más sofisticado que he visto en mi vida«. Cubrí el ataque, pero fue recogido por primera vez por The Register, informando que «Google dice que ahora está endureciendo las defensas contra una sofisticada estafa de toma de control de cuentas documentada por un programador la semana pasada».
El ataque comenzó con una llamada del equipo de soporte de Google, advirtiendo que alguien había intentado acceder a la cuenta de la posible víctima en el extranjero. El número parecía legítimo y estaba respaldado por un correo electrónico de un dominio de Google. Continuó durante algún tiempo, y solo se frustró cuando el jefe falso de la persona que llamó al estafador se puso en línea y se equivocó.
Google ha suspendido la cuenta de ese posible estafador, «que abusó de una cuenta de Workspace no verificada para enviar estos correos electrónicos engañosos», y dice que está «endureciendo nuestras defensas contra los abusadores aprovechando las referencias de g.co al registrarse para proteger aún más a los usuarios». Eso es para evitar que los atacantes imiten los dominios de Google. Pero volviendo a lo básico, nunca debería haber sucedido.
Google dice que «no hemos visto evidencia de que esta sea una táctica a gran escala», con lo que se refiere a la aterradora sofisticación de este ataque en particular. Era complejo y muy específico. Pero el flagelo de las llamadas de soporte fraudulentas está muy extendido. Y no se trata solo de llamadas de soporte, las mismas tácticas son empleadas por el personal bancario fraudulento, el personal de los exchanges de criptomonedas e incluso los oficiales de policía.
Pero eso no se entiende lo suficientemente bien: que Google, Apple, Meta o cualquier otra empresa de tecnología no te llamará de la nada. Y ninguna institución financiera llamará inesperadamente para que mueva dinero o cambie los detalles de la cuenta mientras están en el teléfono. Del mismo modo que ningún oficial de policía llamará para pedir un pago para evitar el arresto.
Para protegerse, Google recomienda no proporcionar información personal a través de correos electrónicos sospechosos y verificar siempre la autenticidad de las comunicaciones recibidas.
Mantente informado y protege tu información personal para evitar caer en estas trampas.
