Las estafas a través del correo electrónico, es un problema muy habitual y que forma parte de nuestro día a día. Es cierto que los proveedores de e-mail cuentan con filtros para detectar la mayoría de correos fraudulentos, pero los piratas informáticos también buscan nuevas técnicas para saltárselos. Es lo que ocurre con esta nueva estrategia que están usando en Gmail, donde indican que la contraseña va a caducar.
Se trata de un nuevo ataque Phishing, en el que buscan que la víctima crea que puede perder el control de su cuenta del correo de Google. Utilizan una novedad para evadir la detección: inyección de mensajes de IA. Vamos a explicarte en qué consiste y qué debes hacer para no caer en la trampa.
Nuevo método Phishing en Gmail
El pasado 16 de agosto, el investigador de seguridad Anurag Sen (@Malwarehunterr), en su página web malwr-analysis.com, documentaba una nueva campaña Phishing que se basaba en la urgencia y redirecciones. Ahora, como indica la misma fuente en una nueva publicación del 24 de agosto, ha habido una evolución y están introduciendo mensajes ocultos de IA diseñados para confundir el análisis automatizado.
Concretamente, lo que están haciendo los piratas informáticos es enviar un correo electrónico con un asunto en el que indican que la contraseña va a caducar. Para evitar problemas, instan a confirmar las credenciales y poder así seguir utilizando la cuenta de Gmail con normalidad, sin riesgo de quedarse sin acceso.
Realmente estamos ante un ataque Phishing común, ya que suelen buscar la urgencia, la necesidad de que la víctima haga algo para no tener un problema. Sin embargo, la novedad es que, en el código fuente del correo, introducen un texto oculto, escrito como si fueran indicaciones para modelos IA, como pueden ser ChatGPT o Gemini. Lo que buscan es la inyección de código para evadir las herramientas de seguridad de Inteligencia Artificial que utiliza el correo electrónico.
¿Qué consiguen con esto? Ese modelo de IA podría identificar el correo como fraudulento y no llegaría a la bandeja de entrada de la víctima. Sin embargo, con esos mensajes ocultos en el código, provocan que tengan que realizar largos bucles de razonamiento o generar respuestas irrelevantes, pero que suponen que no actúen como deberían contra la amenaza real.
El correo fraudulento presenta un diseño deliberadamente minimalista, imitando una notificación de sistema escueta para no levantar sospechas, como se observa en la evidencia compartida por Anurag Sen en X.
Gran sofisticación
Esto puede dar lugar a que no clasifiquen correctamente esa amenaza o tarden más tiempo, por lo que el atacante va a poder saltarse esa barrera defensiva. El correo, por tanto, llegaría a la bandeja de entrada de la víctima.
Los investigadores han detectado que el correo electrónico se originó en SendGrid. Superó las comprobaciones de SPF y DKIM, pero no la de DMARC, lo que le permitió llegar a la bandeja de entrada del usuario. Utilizaban una redirección, la cual conducía a una página con un CAPTCHA diseñado para impedir que los rastreadores automáticos y los entornos de pruebas accedan al sitio Phishing final. Esa redirección se realiza a través de Microsoft Dynamics, lo que hace que el primer salto parezca fiable. Los atacantes explotan esta plataforma de CRM legítima porque su reputación corporativa y sus dominios de confianza suelen estar en las listas blancas de los filtros de seguridad, haciendo que el primer salto del enlace parezca fiable y eluda la detección inicia.
El CAPTCHA protege el dominio del atacante y bloquea así los escáneres automatizados. La página Phishing final utiliza JavaScript ofuscado de varias capas para robar credenciales.
No caigas en errores
Esta campaña nos recuerda algo que está muy presente: la Inteligencia Artificial también es un arma para los ciberdelincuentes. Es más importante que nunca estar alerta y no cometer errores que puedan exponer nuestras cuentas y suponer un problema real.
Tu contraseña de Gmail no va a caducar. Si recibes un correo donde alertan de que necesitas hacer algo, ya que la clave va a expirar, todo es un fraude. Nunca hagas clic en ese tipo de correos, ni abras enlaces, ni descargues archivos adjuntos que puedan llevar. Si no actúas, tu cuenta no está en peligro.
Te recomendamos habilitar siempre la autenticación en dos pasos, lo que permite crear una capa extra de protección y disminuir así el riesgo de sufrir ataques Phishing que permitan a los atacantes controlar tu cuenta. Incluso si supieran tu contraseña, necesitarían ese segundo paso para entrar.
Medidas clave para blindar tu cuenta de Gmail
Además de la verificación en dos pasos que acabamos de comentar, hay otras medidas que podéis tener en cuenta para protegeros:
- Configura alertas de seguridad en tu cuenta: Google puede avisarte de inicios de sesión extraños o cambios sospechosos para que actúes rápido si alguien entra en tu cuenta.
- Usa un gestor de contraseñas y crea claves únicas y largas: olvídate de repetir contraseñas y deja que el gestor genere y rellene por ti.
- Revisa la actividad y los permisos: comprueba qué dispositivos y aplicaciones tienen acceso a tu cuenta y elimina los que no reconozcas.
- Desconfía de enlaces y archivos inesperados: antes de pulsar, pasa el cursor sobre el enlace, verifica el dominio y nunca compartas tus credenciales por correo.
- Mantén todo actualizado y protege la red: instala las últimas versiones del sistema y del navegador, evita Wi-Fi pública sin VPN y usa conexiones seguras.