¡Cuidado! Este elaborado ataque de ‘phishing’ usa Google Docs y Gmail como gancho

Ayer Google recibió uno de los ataques de phishing más elaborados que se han visto hasta el momento, logrando reenviarse a millones de personas y provocando una histeria colectiva que tardó varias horas en detenerse hasta que Google bloqueó el truco que se usaba.

Durante la tarde del miércoles 3 de mayo, se empezó a ver por redes sociales como muchas personas empezaba a recibir correos electrónicos de contactos conocidos con un botón similar al que Gmail te muestra cuando tiene que abrir un archivo en Google Drive.

Correo electrónico con enlace falso de Google Drive de este ataque. Captura: @zachlatta

Cuando pulsas sobre el botón, se abre una página de Google (de verdad) que te pide que des permisos a una aplicación llamada «Google Drive», solo que esa aplicación no es de Google, sino una que alguien ha creado para acceder a tu agenda de Gmail y reenviarse a todos los correos que te has cruzado en tu cuenta de Gmail.

Este captura muestra paso a paso cómo funcionaba este ataque, al que cualquier usuario de Gmail pudo caer.

@zeynep Just got this as well. Super sophisticated. pic.twitter.com/l6c1ljSFIX

— Zach Latta (@zachlatta) May 3, 2017

El ataque es muy sofisticado y difícil de saber que se trata de un ataque, no de una serie de pasos que Google ha impuesto para abrir un enlace de Google Drive. Por suerte, aunque algo tarde, Google reaccionó y bloqueó la aplicación maliciosa que provocó este pánico.

We've addressed the issue with a phishing email claiming to be Google Docs. If you think you were affected, visit https://t.co/O68nQjFhBL. pic.twitter.com/AtlX6oNZaf

— Google Docs (@googledocs) May 3, 2017

Hemos tomado acciones para proteger a los usuarios contra un correo electrónico impersonando Google Docs y hemos desactivado sus cuentas. Hemos eliminado las páginas falsas, publicado actualizaciones a través de Navegación Segura y nuestro equipo de abuso está trabajando para prevenir este tipo de falsificaciones no vuelva a ocurrir de nuevo.

Ahora mismo el peligro no es este correo electrónico que seguramente ha logrado recolectar millones de cuentas de correos electrónicos activos para cualquier tipo de ataque o campaña de spam. El verdadero peligro es que se ha demostrado que este ataque de phishing es efectivo y cualquiera podría usar la misma técnica para engañar a alguien y acceder a su correo electrónico.

Moraleja: Aunque un correo venga de un contacto conocido, redobla tu escepticismo antes de abrir cualquier archivo o enlace.

+ Info | @zachlatta, BuzzFeed