Destapan nueva estafa que saquea cuentas bancarias de los usuarios de Gmail: así opera el engaño

En el marco de ese panorama, expertos en ciberseguridad recientemente detectaron una nueva modalidad de estafa, basada en tácticas de phishing (suplantación) que utiliza dominios de Google para simular correos oficiales y así engañar a las víctimas. 

El ingeniero de software Nick Johnson descubrió el fraude al recibir un correo aparentemente enviado desde accounts.google.com, que incluía un enlace a sites.google.com. Pese a que el mensaje superó los filtros de seguridad de Gmail, un análisis de Johnson expuso que el remitente real estaba vinculado a privateemail.com, un servicio muy usado para ejecutar estafas.

Más noticias: Aparece nueva modalidad de estafa en peajes: así están robando a conductores en las carreteras

Un correo que parece legítimo, pero es una trampa

El caso fue revelado por el ingeniero de software Nick Johnson, quien detectó que había recibido un mensaje en su cuenta de Gmail desde la dirección accounts.google.com. En el cuerpo del correo se incluía una alerta de seguridad junto con un enlace que redirigía a una página con el dominio sites.google.com, lo que generaba una apariencia de total autenticidad.

No obstante, al analizar el origen del mensaje, Johnson descubrió que el verdadero dominio de envío era privateemail.com, un proveedor frecuentemente utilizado por estafadores para lanzar campañas fraudulentas. 

¿Cómo envían correos maliciosos con direcciones originales de Google? 

Especialistas en ciberseguridad indican que los delincuentes registran un dominio personalizado y crean una cuenta de Google. Luego, desarrollan una aplicación utilizando el protocolo Google Oauth, que permite vincular apps a cuentas legítimas. 

Mediante esta táctica, los correos enviados desde esa app son firmados digitalmente por Google, lo cual evita que Gmail los detecte como sospechosos y los envíe a la bandeja de spam.

Le puede interesar: Estos son los números que NO debe contestar en Colombia: puede ser víctima de estafas

Gracias a ello, un usuario desprevenido hace clic en el enlace del correo, llega a una página que imita el soporte oficial de Google y termina ingresando su usuario y contraseña en un formulario falso. A partir de ese momento, los cibercriminales obtienen acceso a Gmail, Google Drive, contraseñas guardadas en Chrome y cualquier otro servicio vinculado a Google.

De este modo, los estafadores obtienen las contraseñas necesarias para ingresar aplicaciones bancarias y tomar el dinero de sus víctimas. 

¿Cómo proteger su cuenta de Google?

Frente a esta amenaza, especialistas en ciberseguridad le indicaron a LA FM que es necesario adoptar las siguientes medidas de prevención:

Activar la verificación en dos pasos

La doble autenticación es el mecanismo de bloqueo más efectivo para evitar que terceros mal intencionados ingresen a una cuenta de Google, pese a que cuenten con la contraseña de acceso. 

Es importante resaltar que Google ofrece varias opciones como: 

• Códigos que llegan vía mensaje de texto (SMS)
• Confirmaciones desde el teléfono del usuario
• Autenticación biométrica (huella digital o reconocimiento facial).

Para activar la verificación de dos pasos es necesario ingresar desde un navegador web al apartado de configuraciones de seguridad de Google (myaccount.google.com/security), iniciar sesión “Iniciar sesión en Google”, luego selecciones la opción de “Verificación en dos pasos” y siga las instrucciones.

Más noticias: Android anunció nuevas funciones: IA ayudará a identificar estafadores y otras más

Revisar configuraciones del Centro de Seguridad de Google

Al ingresar al Security Checkup (https://myaccount.google.com/security-checkup) se puede verificar la actividad reciente, cerrar sesiones en otros dispositivos, y detectar apps con accesos sospechosos.

Sospechar de URLs raras o dominios inusuales

Evite hacer clic en enlaces con terminaciones como:

• com-track
• com-toll
• Subdominios de sites.google.com que parezcan formularios de soporte.

Nunca entregar claves por correo

Google nunca solicita contraseñas o datos personales por email. Si un mensaje le pide información confidencial, es un fraude. Puede reportarlo en Gmail (menú de los tres puntos → "Reportar phishing").

Verificar las apps conectadas a su cuenta

Ingresando al link (https://myaccount.google.com/permissions) será posible revisar qué aplicaciones tienen acceso a una cuenta. Si alguna le parece sospechosa, revoque el permiso de inmediato.

¿Qué hacer si ya fue víctima?

Si un usuario cree que cayó en la trampa, es recomendable tomar las siguientes medidas:

• Cambie su contraseña inmediatamente.
• Cierre sesión en todos los dispositivos desde la configuración de Google.
• Active la verificación en dos pasos.
• Revise la actividad reciente y reporte accesos sospechosos.
• Denuncie el caso al CAI Virtual de la Policía Nacional de Colombia o acuda al soporte de Google.