Una nueva campaña de phishing está utilizando supuestas ofertas de empleo de compañías conocidas para robar credenciales de Gmail. Los atacantes se hacen pasar por reclutadores de empresas como Coca-Cola, Adobe, Netflix, OpenAI, McKinsey, Adidas o Booking.com y envían mensajes personalizados a profesionales que trabajan en sectores relacionados con las vacantes ofrecidas.
El engaño está especialmente cuidado. Los correos mencionan el nombre de la víctima y proponen entrevistas para puestos acordes con su experiencia, lo que indica que los delincuentes habrían realizado previamente una labor de reconocimiento mediante redes profesionales, páginas corporativas u otras fuentes públicas.
La víctima recibe una invitación para reservar una reunión y, tras seguir varios enlaces, termina en una página falsa que solicita sus credenciales de Google. El objetivo es hacerse con el correo electrónico y la contraseña para acceder a la cuenta de Gmail y, potencialmente, a otros servicios asociados.
Una cadena de redirecciones a través de plataformas legítimas
Uno de los elementos más llamativos de la campaña es el uso de varios servicios reales para ocultar el destino final.
El correo inicial se envía a través de PeopleForce, una plataforma legítima de gestión de recursos humanos y selección de personal. Esto puede hacer que el mensaje supere filtros de seguridad y resulte más creíble para la víctima.
El enlace incluido en el correo dirige primero a ExactTarget, una infraestructura de Salesforce Marketing Cloud. A continuación, el usuario es redirigido hacia Wise Agent, otro servicio legítimo, antes de llegar finalmente a una página de phishing alojada en Netlify.
Esta sucesión de redirecciones dificulta la detección porque el primer enlace no apunta directamente a un dominio malicioso. Los sistemas de seguridad deben seguir toda la cadena para identificar el destino real.
Además, el uso de servicios reconocidos reduce las sospechas de los usuarios, que pueden interpretar la presencia de dominios legítimos como una prueba de autenticidad.
Una falsa ventana de inicio de sesión de Gmail
La página final imita el portal de empleo de la empresa suplantada e invita al candidato a reservar una entrevista.
Durante el proceso aparece una supuesta ventana de inicio de sesión de Google. Los investigadores creen que los atacantes podrían estar utilizando una técnica conocida como Browser-in-the-Browser, o BitB.
Este método crea dentro de la propia página una ventana falsa que reproduce el aspecto de un inicio de sesión legítimo. Puede incluir logotipos, bordes, botones y una barra de dirección simulada, aunque en realidad todo forma parte del sitio controlado por el atacante.
La víctima introduce su correo y contraseña pensando que está autenticándose con Google, pero los datos se envían directamente a los delincuentes.
Este tipo de engaño resulta más difícil de detectar que una página de phishing convencional porque la ventana puede parecer independiente y mostrar una dirección aparentemente legítima.
Decenas de marcas conocidas utilizadas como señuelo
La campaña no se limita a una única empresa. Los investigadores han identificado dominios que suplantan a compañías de numerosos sectores.
Entre las aerolíneas y plataformas de viajes aparecen American Airlines, Delta, United Airlines y Booking.com. En alimentación y bebidas se han detectado referencias a Coca-Cola, PepsiCo y Red Bull.
También se utilizan marcas de moda y lujo como Adidas, Louis Vuitton, Levi’s y Sephora, además de empresas tecnológicas y de consultoría como Adobe, OpenAI, McKinsey, Aquent y ManpowerGroup.
Otros dominios imitan a Marriott, Omnicom, Netflix y FIFA. En algunos casos, los atacantes han registrado varias direcciones diferentes para suplantar a la misma compañía, utilizando términos como “careers”, “jobs”, “hiring”, “meetings” o “talenthub”.
La combinación de una marca conocida con palabras relacionadas con el empleo puede hacer que un dominio fraudulento parezca auténtico a primera vista.
Por qué este phishing resulta especialmente convincente
Las falsas ofertas de trabajo explotan varios factores psicológicos.
En primer lugar, apelan a una oportunidad profesional atractiva. Una invitación para trabajar en una multinacional puede provocar entusiasmo y reducir la atención sobre posibles señales de fraude.
En segundo lugar, los mensajes están dirigidos a personas con perfiles laborales compatibles. Esta personalización hace que el contacto parezca menos aleatorio.
Los atacantes también crean urgencia al sugerir que es necesario reservar la entrevista cuanto antes o confirmar la disponibilidad mediante el enlace proporcionado.
A diferencia de los correos de phishing masivo, estos mensajes pueden estar bien escritos y utilizar servicios legítimos de recursos humanos y marketing. Esto dificulta su detección tanto para los usuarios como para los sistemas automáticos.
Cómo identificar una oferta de empleo fraudulenta
Las empresas legítimas pueden utilizar plataformas externas para gestionar procesos de selección, pero los candidatos deberían comprobar siempre el dominio final antes de introducir sus credenciales.
Una oferta debe verificarse en la web oficial de la empresa o en sus perfiles corporativos de empleo. También conviene buscar al supuesto reclutador en LinkedIn y comprobar que su dirección de correo pertenece realmente a la compañía.
Google no debería solicitar credenciales dentro de una ventana dibujada en una página de terceros. Si existe alguna duda, es preferible cerrar el sitio y acceder manualmente a la cuenta desde el dominio oficial.
También se recomienda utilizar un gestor de contraseñas. Estas herramientas suelen completar las credenciales únicamente cuando el dominio coincide con el sitio legítimo, por lo que pueden ayudar a detectar páginas falsas.
La autenticación multifactor añade una barrera adicional, aunque los atacantes pueden intentar capturar códigos temporales o robar sesiones activas. Los métodos resistentes al phishing, como las llaves de seguridad físicas o las passkeys, ofrecen una protección mayor.
La campaña demuestra que el phishing laboral se está volviendo más selectivo y complejo. Los atacantes ya no se limitan a enviar mensajes genéricos: investigan a las víctimas, utilizan plataformas legítimas y construyen cadenas de redirección destinadas a ocultar el fraude hasta el último momento.
