El mundo del phishing sigue avanzando pero con más perfección. Atrás quedaron los correos torpemente escritos y las páginas mal diseñadas que delataban el intento de engaño. Una campaña reciente ha demostrado que los atacantes pueden ahora aprovechar vulnerabilidades dentro de la propia infraestructura de Google para generar correos totalmente legítimos… al menos en apariencia porque son parte de una estafa.
El desarrollador de Ethereum Name Service (ENS), Nick Johnson, fue uno de los primeros en identificar públicamente esta amenaza. En una publicación en la red social X (antes Twitter), advirtió:
“Me han atacado con una campaña de phishing extremadamente sofisticada. Explota una vulnerabilidad en la infraestructura de Google, y como se niegan a arreglarla, es probable que veamos muchos más casos”.
El ataque: una combinación de OAuth y DKIM para ganar confianza
Este nuevo vector de ataque se basa en una técnica poco común conocida como ataque de repetición DKIM (DKIM replay attack), que, combinada con un uso malicioso del sistema de autorización OAuth, permite enviar correos electrónicos que:
-
Provienen desde un dominio oficial de Google.
-
Pasan todas las verificaciones de autenticidad, como SPF, DKIM y DMARC.
-
Incluyen enlaces alojados en
sites.google.com, lo que refuerza su apariencia legítima. -
Presentan advertencias de seguridad reales generadas por Google.
La campaña de correos de Google para la estafa aprovecha el proceso legítimo mediante el cual Google envía notificaciones cuando un usuario autoriza una aplicación OAuth para acceder a su cuenta. Pero aquí está la trampa: los atacantes manipulan el nombre de la aplicación para insertar el mensaje fraudulento dentro de esa notificación automática.
Cómo consiguen que el correo parezca de Google
Los pasos del ataque, según lo informado por Johnson y confirmado por varios analistas de seguridad, son los siguientes:
-
Registro de un dominio malicioso: los atacantes crean un dominio legítimo desde el cual pueden registrar cuentas de Google. Por ejemplo, algo como
[email protected]. -
Creación de una aplicación OAuth personalizada: esta app maliciosa es registrada en la consola de desarrolladores de Google, y en su nombre se incrusta el mensaje completo de phishing.
-
Autorización de la aplicación: el atacante autoriza la app para acceder a su propia cuenta de Google.
-
Google envía una notificación automática: como parte del flujo estándar de OAuth, Google genera un mensaje de seguridad y lo envía desde la dirección [email protected], firmado con DKIM.
-
Reenvío del correo a la víctima: este mensaje, ya legítimamente firmado por Google, es reenviado a los objetivos. Como contiene el mensaje fraudulento incrustado en el nombre de la aplicación, no despierta sospechas.
-
Engaño final: el mensaje puede incluir enlaces hacia páginas de phishing alojadas incluso en subdominios de Google (
sites.google.com), con apariencia legal y textos que simulan comunicaciones oficiales, como citaciones judiciales o alertas legales.
En el caso concreto de Johnson, el mensaje afirmaba que Google LLC había recibido una citación legal para entregar el contenido de su cuenta, incluyendo un supuesto número de expediente.
Por qué este ataque es tan peligroso
Este ataque representa un cambio de paradigma en materia de phishing por varias razones:
-
Los correos de Google parecen legítimos y no formar parte de ninguna estafa: no solo porque usa el dominio de Google, sino porque está genuinamente firmado por Google mediante DKIM.
-
Evita filtros de spam: al pasar todas las pruebas de autenticidad estándar, estos mensajes no son detectados como sospechosos por Gmail ni otros servicios que usan filtros automáticos.
-
Abusa de procesos reales: el ataque no simula una alerta de seguridad; es una alerta de seguridad, generada por Google, pero con contenido malicioso incorporado.
-
Redirige a sitios aparentemente seguros: incluso usuarios experimentados podrían no detectar la amenaza al ver una URL bajo
google.com.
La reacción de Google
Tras las denuncias de Johnson y el creciente interés de los expertos en ciberseguridad, Google ha reconocido el problema públicamente. Un portavoz confirmó que están al tanto del uso indebido de sus flujos OAuth y del abuso de las notificaciones firmadas con DKIM.
La empresa informó que ya está desarrollando un parche para mitigar este tipo específico de ataque, aunque no especificaron fechas exactas para su implementación. Posteriormente, Johnson actualizó su mensaje en X:
“¡Google ha reconsiderado y corregirá el bug de OAuth!”
Aunque se trata de una buena noticia, el hecho de que la vulnerabilidad haya estado activa y sin solución durante semanas genera inquietud entre expertos y usuarios por igual.
