{"id":178786,"date":"2025-12-23T13:21:11","date_gmt":"2025-12-23T16:21:11","guid":{"rendered":"https:\/\/nuevoitsitio1.wpenginepowered.com\/co\/sin-categoria\/alerta-de-phishing-atacantes-usaron-correos-legitimos-de-google-cloud-para-robar-credenciales\/"},"modified":"2025-12-23T13:21:11","modified_gmt":"2025-12-23T16:21:11","slug":"alerta-de-phishing-atacantes-usaron-correos-legitimos-de-google-cloud-para-robar-credenciales","status":"publish","type":"post","link":"https:\/\/www.itsitio.com\/co\/seguridad\/alerta-de-phishing-atacantes-usaron-correos-legitimos-de-google-cloud-para-robar-credenciales\/","title":{"rendered":"Alerta de phishing: atacantes usaron correos leg\u00edtimos de Google Cloud para robar credenciales"},"content":{"rendered":"

Un informe reciente de Check Point Research<\/span><\/span><\/strong> revel\u00f3 una sofisticada campa\u00f1a de phishing<\/strong> que logr\u00f3 un nivel de credibilidad inusual: los atacantes enviaron correos electr\u00f3nicos maliciosos desde una direcci\u00f3n leg\u00edtima de Google<\/strong>, aprovechando funciones reales de automatizaci\u00f3n en la nube.<\/p>\n

La campa\u00f1a expuso una nueva superficie de ataque: el uso indebido de herramientas v\u00e1lidas<\/strong> de proveedores confiables para evadir filtros de seguridad tradicionales y enga\u00f1ar a usuarios finales.<\/p>\n

Correos de phishing enviados desde la infraestructura de Google<\/span><\/h2>\n

Seg\u00fan el informe, los atacantes distribuyeron 9.394 correos electr\u00f3nicos de phishing<\/strong> dirigidos a unos 3.200 clientes<\/strong> en un per\u00edodo de 14 d\u00edas. Todos los mensajes proven\u00edan de la direcci\u00f3n oficial noreply-application-integration@google.com<\/code>, asociada a Google<\/span><\/span><\/strong>, lo que increment\u00f3 significativamente la tasa de llegada a las bandejas de entrada.<\/p>\n

Los correos imitaban notificaciones empresariales rutinarias<\/strong>, como alertas de correo de voz o solicitudes de acceso a documentos, formatos comunes en entornos corporativos y, por lo tanto, dif\u00edciles de distinguir de mensajes reales.<\/p>\n

El m\u00e9todo de ataque: abuso de automatizaci\u00f3n en la nube<\/span><\/h2>\n

La investigaci\u00f3n indica que la campa\u00f1a explot\u00f3 la tarea \u201cEnviar correo electr\u00f3nico\u201d<\/strong> de Google Cloud Application Integration, una funci\u00f3n dise\u00f1ada para flujos de trabajo automatizados y notificaciones leg\u00edtimas.<\/p>\n

Este enfoque permiti\u00f3 a los atacantes enviar mensajes desde dominios confiables sin comprometer la infraestructura de Google<\/strong>, eludiendo controles basados en reputaci\u00f3n de dominio o remitente.<\/p>\n

El resultado fue una suplantaci\u00f3n altamente efectiva de comunicaciones aut\u00e9nticas, apoyada en lenguaje, formato y estructura id\u00e9nticos a los mensajes oficiales de Google.<\/p>\n

Redirecci\u00f3n en capas para evadir detecci\u00f3n<\/span><\/h2>\n

La campa\u00f1a incorpor\u00f3 un flujo de redirecci\u00f3n de m\u00faltiples etapas<\/strong>, pensado para reducir sospechas y evitar an\u00e1lisis automatizados.<\/p>\n

Clic inicial desde un dominio confiable<\/span><\/h3>\n

El primer enlace llevaba a storage.cloud.google.com<\/code>, un servicio leg\u00edtimo de Google Cloud, lo que reforzaba la confianza del usuario y disminu\u00eda las probabilidades de bloqueo.<\/p>\n

Validaci\u00f3n con CAPTCHA falso<\/span><\/h3>\n

Luego, el usuario era redirigido a contenido alojado en googleusercontent.com<\/code>, donde se mostraba un CAPTCHA fraudulento o verificaci\u00f3n visual. Este paso buscaba bloquear esc\u00e1neres autom\u00e1ticos de seguridad<\/strong>.<\/p>\n

P\u00e1gina falsa de inicio de sesi\u00f3n<\/span><\/h3>\n

Finalmente, la v\u00edctima llegaba a una p\u00e1gina falsa de inicio de sesi\u00f3n de Microsoft<\/span><\/span><\/strong>, alojada en un dominio externo. All\u00ed, los atacantes capturaban las credenciales ingresadas, completando el ataque.<\/p>\n

Este esquema combin\u00f3 infraestructura confiable, interacci\u00f3n humana y suplantaci\u00f3n de marca para maximizar la efectividad del phishing.<\/p>\n

Sectores y regiones m\u00e1s afectados<\/span><\/h2>\n

El an\u00e1lisis de los \u00faltimos 14 d\u00edas mostr\u00f3 un impacto concentrado en sectores que utilizan intensivamente notificaciones automatizadas y documentos compartidos.<\/p>\n

Por sector<\/strong>, los m\u00e1s afectados fueron:<\/p>\n