Una de las recomendaciones que siempre damos para proteger las cuentas en Internet, es utilizar la autenticación en dos pasos. Es una capa extra, más allá de la contraseña habitual. Sin embargo, en este artículo nos hacemos eco de un anuncio que han realizado desde Google, donde afirman que un grupo de hackers ha logrado romper esa autenticación multifactor y entrar en una cuenta de Gmail.
El Grupo de Inteligencia de Amenazas de Google, publicó el pasado 18 de junio un informe donde explicaba qué había ocurrido. En este artículo, en colaboración con Citizen Lab, que es un grupo dedicado a investigar incidentes de ciberseguridad, detallan qué ha ocurrido para que, entre abril y junio, pudieran apuntar a determinadas cuentas de Gmail y saltarse esa 2FA.
Evita la doble autenticación en Gmail
Precisamente, la autenticación doble sirve para proteger una cuenta, incluso si un atacante logra robar la contraseña. Puede ser que averigüen tu clave, que la pongas en un sitio Phishing o que haya un keylogger en tu ordenador o móvil y registren todo lo que pones. Aun así, necesitarían ese segundo paso para entrar.
Ahora, lo que ha ocurrido es que un grupo de cibercriminales ha logrado omitir ese segundo paso, ese código 2FA necesario para entrar. El equipo de Google, detectó a estos piratas informáticos como UNC6293, un grupo que, aparentemente, estaría financiado por el gobierno ruso. Apuntaron contra Keir Giles, un investigador británico.
Lo que hicieron, algo habitual en ataques de este tipo, fue suplantar la identidad de una persona reconocida. Concretamente, de Claudie S. Weber, una funcionaria del Departamento de Estado de EEUU. Enviaron un correo donde invitaban a la víctima a una consulta para tratar un tema. El atacante utilizó un correo de Gmail, pero puso en copia cuatro direcciones @state.gov. De esta forma, simulaba ser un remitente legítimo, aunque esas direcciones ni siquiera existieran en realidad.
Un dato que hay que destacar, y que demuestra el peligro actual, es que utilizaron la Inteligencia Artificial para generar un texto creíble, perfectamente escrito. Ya vimos cómo utilizan la IA para robar cuentas de Gmail. Aunque pueda ser una herramienta muy útil para mejorar la seguridad, también es un arma para los cibercriminales. Es clave conocer los riesgos que existen y no caer en la trampa.
De esta forma, lograron que Ker Giles, la víctima, respondiera a ese correo. A continuación, los atacantes volvieron a responder y, esta vez, le invitaban a registrarse en una plataforma, MS DoS Guest Tenant, que pertenecería al Departamento de Estado, para poder entrar en esas futuras reuniones. Pero todo eso era una estafa.
Archivo PDF, la clave de todo
En uno de estos intercambios de correos, los atacantes enviaron un PDF que, a la postre, sería el detonante de todo. En ese documento, explicaban lo que tenía que hacer para registrarse en esa cuenta. Lo crearon de tal forma que parecía un documento oficial, seguro, con marcas. Pero claro, en esas instrucciones lo que explicaban era cómo crear una contraseña específica para su cuenta de Gmail.
Pero, ¿qué es esto de contraseña específica? Básicamente, es un código de un solo uso, de 16 caracteres, generado por Google. Según la documentación oficial de Google, está diseñado para usar cuando una aplicación o dispositivo no admite códigos de verificación habituales y se utiliza esto como alternativa. Se puede usar en lugar del nombre y contraseña que utilizas normalmente para entrar. El problema crítico es que alguien con ese código, va a poder entrar en la cuenta. Y eso justo es lo que ha ocurrido con estos piratas informáticos. Sin saber, la víctima estaba dando acceso total.
Se trata de un ataque claro de ingeniería social, en el que los atacantes buscan engañar a la víctima a través de una serie de mensajes que intercambian. Como suele ocurrir, suplantan la identidad de una persona u organismo oficial para no levantar sospechas. Todo muy bien orquestado que, además, contaba con la ayuda de la IA en la redacción de esos correos.
¿Qué puedes hacer, como usuario, para protegerte de estos ataques? Desde Google, recomiendan no utilizar alternativas a aplicaciones como Google Authenticator, para poder verificar tu cuenta. Además, es clave mantener el sentido común, no cometer errores, no interactuar con correos que puedan ser sospechosos y, mucho menos, dar datos o contraseñas.
También debes estar alerta ante cualquier archivo que puedan enviarte, ya sea por correo electrónico o cualquier otro medio. Puede ser el arma utilizada por los cibercriminales para llegar a tu dispositivo y empezar a ejecutar la carga útil maliciosa. Puede ser un PDF, como es el caso de este problema que hemos visto, pero también un archivo de texto, imagen, carpeta ZIP…
Comprobar si tu e-mail se ha filtrado, es algo que puedes hacer de vez en cuando. Esto te ayudará a actuar lo antes posible y cambiar las claves para no dar facilidades a los cibercriminales. Existen plataformas como la de Have I Been Pwned que te ayudan a detectar filtraciones y actuar correctamente lo antes posible.