Nueva estafa en Gmail: así pueden robarte la cuenta en pocos minutos

22 de Abril de 2025

Una campaña de phishing logra burlar los sistemas de seguridad de Google y engañar a los usuarios

Una reciente estafa digital ha puesto en alerta a los usuarios de Gmail, ya que ciberdelincuentes han encontrado la manera de hacer pasar correos fraudulentos como mensajes legítimos enviados por Google. Utilizan una dirección aparentemente oficial, no-reply@accounts.google.com, para convencer a los usuarios de ingresar a sitios falsos donde terminan robando sus credenciales.

El ataque comienza con un correo que aparenta ser una notificación real, en el que se menciona una supuesta citación judicial relacionada con el contenido de la cuenta. En el mensaje se invita al usuario a ingresar a un sitio web que simula ser parte del soporte oficial de Google, pero que en realidad es una trampa para obtener el correo y la contraseña del usuario.

Lo preocupante es que esta campaña logró evadir los filtros de seguridad de Gmail y pasar las verificaciones del sistema DKIM, que normalmente valida la autenticidad de los correos. Los atacantes crearon una aplicación en Google OAuth y usaron su nombre para generar un aviso automático desde Google Workspace, que luego reenviaron como si fuera una alerta legítima.

Este correo malicioso tiene un aspecto algo extraño, pero el hecho de estar firmado por Google genera confianza en usuarios desprevenidos. Los enlaces no están activos, sino en texto plano para copiar y pegar, lo que puede pasar inadvertido como un truco más para legitimar el mensaje.

Al ingresar a la página falsa, construida mediante Google Sites, el usuario encuentra una imitación bastante convincente de la pantalla de inicio de sesión de Gmail. Una vez se introducen las credenciales, estas quedan en manos de los estafadores, quienes pueden tomar el control completo de la cuenta.

Google ya se encuentra trabajando en una solución para bloquear esta vulnerabilidad en OAuth. Sin embargo, se recomienda extremar precauciones al recibir cualquier correo sospechoso, incluso si aparenta provenir de una fuente confiable. Es clave verificar siempre que la URL sea la oficial (accounts.google.com) antes de ingresar cualquier dato personal.

Escrito por: Daniel Martín 

⇒Foto: Hipertextual