El correo se distribuye en grandes volúmenes a distintas direcciones, comprometiendo a miles de usuarios sin activar alertas en los sistemas de Google
22.04.2025 • 14:30hs • Ciberseguridad
Ciberseguridad
Alerta: estafa sofisticada utiliza Google para robar miles de cuentas
Nick Johnson, desarrollador principal de Ethereum Name Service (ENS), alertó sobre una peligrosa táctica de phishing que aprovecha herramientas legítimas de Google para engañar a los usuarios y obtener sus credenciales.
Según detalló Johnson en un hilo en X, la estafa llega a través de un correo que aparenta ser una notificación legal de Google.
El mensaje, enviado desde la dirección auténtica no-reply@google.com, pasa todas las verificaciones de seguridad de Gmail, incluida la firma DKIM, y se agrupa con otros correos reales del sistema, lo que dificulta identificarlo como fraudulento.
El correo incluye un enlace que redirige a una página falsa alojada en sites.google.com, plataforma que permite crear sitios personalizados.
"Google se dio cuenta hace tiempo de que alojar contenido público y específico del usuario en google.com era una mala idea, pero Google Sites sigue existiendo", escribió Johnson.
En estas páginas, los atacantes imitan el centro de soporte de Google y despliegan formularios para capturar información sensible.
La sofisticada táctica de phishing que acecha a la comunidad cripto
Sin embargo, la estrategia va todavía más allá. Johnson explicó que los estafadores crean una cuenta de Google con un nombre similar a una dirección oficial y luego desarrollan una app OAuth con un contenido que emula una alerta legal, utilizando nombres como "Google Legal Support".
Gracias a esto, logran generar mensajes legítimos desde los servidores de Google que burlan todos los filtros de seguridad y figura como un correo genuino para los usuarios.
El mensaje es replicado y enviado a gran escala a múltiples destinatarios, exponiendo a miles de personas sin que los filtros automáticos de Google lo identifiquen como una amenaza
A pesar de haber reportado el problema, la compañía no tomó medidas. Johnson aseguró que el equipo de seguridad de Google respondió que el comportamiento era "como se esperaba" y cerró el caso.
Ante esta situación, el desarrollador advirtió que los usuarios, especialmente en el entorno cripto, están en riesgo: estafas como esta podrían escalar rápidamente en sofisticación y alcance.
Recomendó desconfiar de correos con requerimientos legales, aunque parezcan auténticos, y revisar cuidadosamente los enlaces antes de ingresar cualquier dato.