_general.jpg?v=63906052052)
La estafa "más sofisticada" que este programador había visto casi le roba su cuenta de Gmail: cuidado con esta clase de llamadas
Hasta los más experimentados en tecnología pueden terminar cayendo en las ciberestafas cuando éstas son lo suficientemente sofisticadas: un reciente intento dirigido contra Zach Latta, fundador del Hack Club (una red global de clubes de programación para adolescentes), ha servido como advertencia a los usuarios de un timo que está obligando a Google a tomar medidas para proteger a sus usuarios. Crónica de una estafa por teléfono e e-mail Latta, un programador con amplia experiencia en seguridad digital, estuvo a punto de caer en una elaborada estafa telefónica destinada a hacerse con el control de su cuenta de Google. Todo comenzó con una llamada desde un número que, según la identificación de llamadas, pertenecía a la propia Google. Al otro lado de la línea, una voz con acento estadounidense, que se identificó como "Chloe", afirmaba ser una ingeniera de Google Workspace y le alertaba sobre un intento de inicio de sesión desde Fráncfort (Alemania) que, desde luego, Latta no había realizado. Latta, consciente del riesgo de estar sufriendo una estafa, solicitó que le enviasen un correo electrónico de confirmación. Sorprendentemente, recibió un mensaje desde la dirección "workspace-noreply@google.com", una dirección auténtica de Google. Además, el correo contenía un número de caso y un enlace aparentemente válido al subdominio "important.g.co", lo que hacía que la estafa fuera mucho más convincente. Pero, cuando 'Chloe' animó a nuestro protagonista a realizar un 'reinicio de sesión' en su dispositivo, todas las alarmas mentales empezaron a sonar, y Latta tuvo la idea de revisar él mismo sus registros de Google Workspace: por supuesto, no encontró ninguna actividad sospechosa, como el supuesto inicio de sesión desde Alemania. En ese momento, 'Chloe' sugirió que dichos registros podían estar desactualizados, pero se ofreció transferir la llamada a su "superior", un supuesto ingeniero de Google llamado 'Solomon', quien intentó convencer al usuario de que la cuenta podría haber sido comprometida mediante una extensión de bloqueo de anuncios maliciosa. Al mismo tiempo, guió al usuario a un enlace legítimo dentro del soporte de Google para verificar el número de contacto, intentando mantener así la ilusión de autenticidad. Sin embargo, inesperadamente, 'Solomon' desaconsejó al usuario que devolviera la llamada al número proporcionado, como éste último había propuesto. En Genbeta Solíamos decir que "si sale en la primera página de Google será de fiar". Pero si te lo crees, puedes caer víctima de esta estafa El ataque culminó cuando 'Solomon' pidió al usuario que abriera Gmail en su teléfono y que cerrara todas las sesiones activas antes de cambiar su contraseña. Luego, envió un código de verificación, asegurando que al tocarlo se cerrarían las sesiones en todos los dispositivos no autorizados. En realidad, este paso habría entregado acceso total a la cuenta del usuario a los atacantes. El primer problema Afortunadamente, la suspicacia del programador evitó que cometiera un error fatal, pero la experiencia dejó bien claro cómo incluso las mejores prácticas de verificación pueden ser burladas. Pero el caso de Latta no es un hecho aislado. El intento de fraude ha puesto en evidencia una posible vulnerabilidad en Google Workspace: investigadores independientes del Hack Club han señalado que podría haber un error en la configuración del servicio, permitiendo a los atacantes crear nuevas cuentas de Workspace con subdominios "g.co" sin necesidad de verificar la propiedad del dominio. Este fallo, si se confirma, explicaría cómo los ciberdelincuentes lograron enviar correos electrónicos aparentemente legítimos desde un subdominio de Google, sin ser detectados por los sistemas de autenticación convencionales. El segundo problema Más allá del uso fraudulento de Google Workspace, este ejemplo de ciberestafa muestra otros patrones cada vez más frecuentes relacionados con la estafa del falso técnico (y con el uso de la IA ocasional de la IA generadora de voces). Figuras prominentes en la tecnología, como Garry Tan, fundador de Y Combinator, y Sam Mitrovic, consultor de Microsoft, también han sido blanco de estafas similares: Tan recibió una llamada afirmando que su cuenta estaba comprometida debido a un "certificado de defunción fraudulento", mientras que Mitrovic notó que la voz de su interlocutor era "demasiado perfecta", esto es, "carente de errores humanos", lo que le hizo sospechar del engaño. La respuesta de Google Ante la gravedad del incidente, Google ha tomado medidas inmediatas para bloquear el abuso de sus servicios. Según un portavoz de la empresa, la cuenta utilizada en el ataque fue suspendida y se han implementado nuevas barreras para evitar que los ciberdelincuentes usen dominios legítimos de Google (como "g.co") para engañar a los usuarios.
Hasta los más experimentados en tecnología pueden terminar cayendo en las ciberestafas cuando éstas son lo suficientemente sofisticadas: un reciente intento dirigido contra Zach Latta, fundador del Hack Club (una red global de clubes de programación para adolescentes), ha servido como advertencia a los usuarios de un timo que está obligando a Google a tomar medidas para proteger a sus usuarios.
Crónica de una estafa por teléfono e e-mail
Latta, un programador con amplia experiencia en seguridad digital, estuvo a punto de caer en una elaborada estafa telefónica destinada a hacerse con el control de su cuenta de Google. Todo comenzó con una llamada desde un número que, según la identificación de llamadas, pertenecía a la propia Google.
Al otro lado de la línea, una voz con acento estadounidense, que se identificó como "Chloe", afirmaba ser una ingeniera de Google Workspace y le alertaba sobre un intento de inicio de sesión desde Fráncfort (Alemania) que, desde luego, Latta no había realizado.
Latta, consciente del riesgo de estar sufriendo una estafa, solicitó que le enviasen un correo electrónico de confirmación. Sorprendentemente, recibió un mensaje desde la dirección "workspace-noreply@google.com", una dirección auténtica de Google. Además, el correo contenía un número de caso y un enlace aparentemente válido al subdominio "important.g.co", lo que hacía que la estafa fuera mucho más convincente.
Pero, cuando 'Chloe' animó a nuestro protagonista a realizar un 'reinicio de sesión' en su dispositivo, todas las alarmas mentales empezaron a sonar, y Latta tuvo la idea de revisar él mismo sus registros de Google Workspace: por supuesto, no encontró ninguna actividad sospechosa, como el supuesto inicio de sesión desde Alemania.
En ese momento, 'Chloe' sugirió que dichos registros podían estar desactualizados, pero se ofreció transferir la llamada a su "superior", un supuesto ingeniero de Google llamado 'Solomon', quien intentó convencer al usuario de que la cuenta podría haber sido comprometida mediante una extensión de bloqueo de anuncios maliciosa.
Al mismo tiempo, guió al usuario a un enlace legítimo dentro del soporte de Google para verificar el número de contacto, intentando mantener así la ilusión de autenticidad. Sin embargo, inesperadamente, 'Solomon' desaconsejó al usuario que devolviera la llamada al número proporcionado, como éste último había propuesto.
El ataque culminó cuando 'Solomon' pidió al usuario que abriera Gmail en su teléfono y que cerrara todas las sesiones activas antes de cambiar su contraseña. Luego, envió un código de verificación, asegurando que al tocarlo se cerrarían las sesiones en todos los dispositivos no autorizados. En realidad, este paso habría entregado acceso total a la cuenta del usuario a los atacantes.
El primer problema
Afortunadamente, la suspicacia del programador evitó que cometiera un error fatal, pero la experiencia dejó bien claro cómo incluso las mejores prácticas de verificación pueden ser burladas. Pero el caso de Latta no es un hecho aislado.
El intento de fraude ha puesto en evidencia una posible vulnerabilidad en Google Workspace: investigadores independientes del Hack Club han señalado que podría haber un error en la configuración del servicio, permitiendo a los atacantes crear nuevas cuentas de Workspace con subdominios "g.co" sin necesidad de verificar la propiedad del dominio.
Este fallo, si se confirma, explicaría cómo los ciberdelincuentes lograron enviar correos electrónicos aparentemente legítimos desde un subdominio de Google, sin ser detectados por los sistemas de autenticación convencionales.
El segundo problema
Más allá del uso fraudulento de Google Workspace, este ejemplo de ciberestafa muestra otros patrones cada vez más frecuentes relacionados con la estafa del falso técnico (y con el uso de la IA ocasional de la IA generadora de voces).
Figuras prominentes en la tecnología, como Garry Tan, fundador de Y Combinator, y Sam Mitrovic, consultor de Microsoft, también han sido blanco de estafas similares: Tan recibió una llamada afirmando que su cuenta estaba comprometida debido a un "certificado de defunción fraudulento", mientras que Mitrovic notó que la voz de su interlocutor era "demasiado perfecta", esto es, "carente de errores humanos", lo que le hizo sospechar del engaño.
La respuesta de Google
Ante la gravedad del incidente, Google ha tomado medidas inmediatas para bloquear el abuso de sus servicios. Según un portavoz de la empresa, la cuenta utilizada en el ataque fue suspendida y se han implementado nuevas barreras para evitar que los ciberdelincuentes usen dominios legítimos de Google (como "g.co") para engañar a los usuarios.
Google también ha reiterado que nunca llamará por teléfono a los usuarios para solicitar cambios de contraseña o para solucionar problemas de cuentas. Enfatiza que cualquier llamada con estas características debe ser considerada una estafa.
Además, ha recomendado el uso de su 'Programa de protección avanzada', diseñado para usuarios de alto riesgo como periodistas, activistas y figuras públicas, y que obliga a los usuarios a utilizar llaves de seguridad físicas o claves de acceso para iniciar sesión en sus cuentas. Con este método, incluso si un atacante obtiene las credenciales del usuario, no podrá acceder sin el dispositivo físico correspondiente.
Consejos para evitar ser víctima de phishing
Este caso es un claro recordatorio de que incluso las mejores prácticas de seguridad pueden ser insuficientes ante ataques tan elaborados. Algunas recomendaciones clave para evitar caer en este tipo de fraudes incluyen:
- Desconfiar de llamadas no solicitadas: Google rara vez se comunica por teléfono para cuestiones de seguridad sin previo aviso.
- Verificar siempre los correos electrónicos: Aunque el dominio parezca legítimo, revisa los encabezados y analiza el contenido cuidadosamente.
- No compartir códigos de autenticación: Google nunca te pedirá que ingreses códigos MFA en llamadas o correos electrónicos.
- Utilizar métodos de autenticación avanzados: Considera usar llaves de seguridad físicas en lugar de SMS o aplicaciones de autenticación.
- Consultar directamente con el soporte de Google: En caso de duda, accede a la página de soporte oficial sin seguir enlaces proporcionados en la llamada o en correos electrónicos sospechosos.
Imagen | Marcos Merino mediante IA + emoji
En Genbeta | Cómo denunciar fraudes en Internet y ciberestafas
-
La noticia
La estafa "más sofisticada" que este programador había visto casi le roba su cuenta de Gmail: cuidado con esta clase de llamadas
fue publicada originalmente en
Genbeta
por
Marcos Merino
.
