Los usuarios de Gmail advirtieron sobre un ataque de phishing ‘sofisticado’
Los piratas informáticos están convirtiendo las bandejas de entrada en zonas de peligro.
Google ha emitido una advertencia urgente a sus 3 mil millones de usuarios de Gmail después de confirmar una estafa de phishing «sofisticada» Dirigirse a los correos electrónicos desprevenidos – Y los Ciberner Crooks son tan astutos, incluso los técnicos sazonados se están enamorando de ello.
Desarrollador Nick Johnson sonó la alarma en las redes sociales – Después de casi ser engañado por una estafa tan resbaladiza, utilizó la propia infraestructura de Google para verse legítima.
«Recientemente me fue atacado por un extremadamente sofisticado Ataque de phishing ”, publicó Johnson el 16 de abril.
«Explota una vulnerabilidad en la infraestructura de Google, y dada su negativa a solucionarla, es probable que lo veamos mucho más».
La trampa se disfrazó de un correo electrónico de aspecto oficial alegando que había sido golpeado con una citación vinculada a su cuenta de Google.
Incluso vino de lo que parecía ser Una verdadera dirección de Google.
«La única pista de que es un Phish es que está alojado en Sites.google.com en lugar de cuentas.google.com», señaló Johnson en el hilo X.
Al hacer clic en el enlace, condujo a un «portal de soporte» falso con duplicados muertos de páginas de inicio de sesión de Google reales- Diseñado para engañar a los usuarios en entregar sus credenciales.
«A partir de ahí, presumiblemente, cosechan sus credenciales de inicio de sesión y las usan para comprometer su cuenta», advirtió Johnson.
«Incluso lo pone en la misma conversación que otras alertas de seguridad legítimas».
Peor aún, el correo electrónico sombreado pasó el cheque DKIM (Correo identificado de Domain Keeys) de Google, lo que significa que Gmail lo trató como Solo otro mensaje Ho-Hum.
En un reciente declaración Para el Daily Mail, un portavoz de Google dijo: «Somos conscientes de esta clase de ataque objetivo de este actor de amenaza y hemos lanzado protecciones para cerrar esta vía para abusar.
Google dice que ya ha bloqueado la escapatoria que habilitó la estafa, y ha lanzado nuevos consejos para ayudar a los usuarios a esquivar trampas de correo electrónico similares.
«Google no solicitará ninguna de las credenciales de su cuenta, incluida su contraseña, contraseñas únicas, confirmación de notificaciones push, etc., y Google no lo llamará», enfatizó el portavoz.
Cyber se arrastra detrás de la estafa usó los sitios de Google para prestar su artimaña con un aire de credibilidad, depositando del hecho de que la mayoría de la gente no adivinará una URL de aspecto familiar.
«Estas estafas están diseñadas para parecer lo más reales posible», dijo Johnson, advirtiendo que muchos usuarios no notarán el ligero ajuste en el nombre de dominio, lo que podría significar dolores de cabeza importantes para sus cuentas bancarias o identidad.
Los usuarios de Gmail que confían únicamente en las contraseñas están Especialmente vulnerable.
Si un hacker atrapa su información de inicio de sesión y no usa autenticación de dos factores (2fa) o verses de pasas, pueden entrar directamente en su cuenta.
Un PassKey, por otro lado, es un método de inicio de sesión atado por hardware que los piratas informáticos no pueden simplemente deslizar y usar, lo que lo convierte en una apuesta mucho más segura.
Mientras tanto, los intentos de phishing están cada vez más difíciles de detectar. Las banderas rojas incluyen saludos vagos, un tono urgente y enlaces haciendo clic en una acción inmediata, especialmente con respecto a los datos personales o el acceso a la cuenta.
A pesar de que Google envía correos electrónicos sobre problemas de cuentas, el Tech Titan dice que siempre debe pensarlo dos veces antes de hacer clic.
Según Google’s Página de privacidad y términos«Cuando recibimos una solicitud de una agencia gubernamental, enviamos un correo electrónico a la cuenta de usuario antes de divulgar información. Si la cuenta es administrada por una organización, notificaremos al administrador de la cuenta».
Y en caso de que piense que lo tiene resuelto, Google agrega: «No daremos una notificación cuando esté legalmente prohibido bajo los términos de la solicitud. Poneremos un aviso después de que se levante una prohibición legal, como cuando haya expirado un período de mordaza legal o ordenado por el tribunal».
En pocas palabras: si recibe un correo electrónico que suena incompleto pidiendo información personal, no haga clic.
En su lugar, abra el sitio en una ventana de navegador separada y verifique la fuente.
