/https://assets.iproup.com/assets/jpg/2023/12/37178.jpg)
Nick Johnson, desarrollador principal de Ethereum Name Service (ENS), alertó sobre una peligrosa táctica de phishing que aprovecha herramientas legítimas de Google para engañar a los usuarios y obtener sus credenciales.
Según detalló Johnson en un hilo en X, la estafa llega a través de un correo que aparenta ser una notificación legal de Google.
El mensaje, enviado desde la dirección auténtica no-reply@google.com, pasa todas las verificaciones de seguridad de Gmail, incluida la firma DKIM, y se agrupa con otros correos reales del sistema, lo que dificulta identificarlo como fraudulento.
El correo incluye un enlace que redirige a una página falsa alojada en sites.google.com, plataforma que permite crear sitios personalizados.
"Google se dio cuenta hace tiempo de que alojar contenido público y específico del usuario en google.com era una mala idea, pero Google Sites sigue existiendo", escribió Johnson.
En estas páginas, los atacantes imitan el centro de soporte de Google y despliegan formularios para capturar información sensible.
Sin embargo, la estrategia va todavía más allá. Johnson explicó que los estafadores crean una cuenta de Google con un nombre similar a una dirección oficial y luego desarrollan una app OAuth con un contenido que emula una alerta legal, utilizando nombres como "Google Legal Support".
Gracias a esto, logran generar mensajes legítimos desde los servidores de Google que burlan todos los filtros de seguridad y figura como un correo genuino para los usuarios.
El mensaje es replicado y enviado a gran escala a múltiples destinatarios, exponiendo a miles de personas sin que los filtros automáticos de Google lo identifiquen como una amenaza
A pesar de haber reportado el problema, la compañía no tomó medidas. Johnson aseguró que el equipo de seguridad de Google respondió que el comportamiento era "como se esperaba" y cerró el caso.
Ante esta situación, el desarrollador advirtió que los usuarios, especialmente en el entorno cripto, están en riesgo: estafas como esta podrían escalar rápidamente en sofisticación y alcance.
Recomendó desconfiar de correos con requerimientos legales, aunque parezcan auténticos, y revisar cuidadosamente los enlaces antes de ingresar cualquier dato.