Todos los que tengan una cuenta de Gmail estarán en alerta roja y se les pedirá que sigan 6 nuevas reglas

La mayoría de los usuarios de correo electrónico ya conocen las estafas y los ataques que llegan a sus bandejas de entrada a diario. Google se ha vuelto tan experto en detectar mensajes fraudulentos que la mayoría se filtran al instante mucho antes de que lleguen a las cuentas de los clientes. Sin embargo, parece que no es buen momento para bajar la guardia. Recientemente, unos hackers lograron llevar a cabo un ciberataque que evade la autenticación multifactor de Google.

Esto significa que los delincuentes cibernéticos podrían obtener acceso total a las cuentas sin que el propietario se dé cuenta de que algo anda mal.

El nuevo ataque fue detectado por investigadores de seguridad de Google Threat Intelligence Group, quienes confirmaron que ya se han producido ataques dirigidos.

Las cuentas de Google suelen ser muy seguras, y los usuarios necesitan usar varios métodos para acceder a servicios como Gmail . Estos suelen incluir la autenticación de dos factores, que envía un mensaje a un segundo dispositivo antes de permitir el inicio de sesión.

Pero parece que los delincuentes cibernéticos rusos han encontrado una forma de atacar a teléfonos más antiguos y otros dispositivos que no pueden manejar este paso de verificación adicional.

Google ofrece algo llamado contraseñas de aplicaciones, que son códigos especiales de 16 dígitos destinados a mantener seguros los dispositivos menos modernos.

Sin embargo, debido a que las contraseñas de las aplicaciones omiten el segundo paso de verificación, los piratas informáticos pueden robarlas o suplantar su identidad con mayor facilidad.

Según Malwarebytes, los delincuentes utilizaron este método para atacar a académicos destacados y críticos de Rusia .

"Los atacantes inicialmente se pusieron en contacto haciéndose pasar por un representante del Departamento de Estado e invitando al objetivo a una consulta en el marco de una conversación privada en línea", explicó Malewarebytes.

Aunque la víctima cree que está creando y compartiendo la contraseña de una aplicación para acceder de forma segura a una plataforma del Departamento de Estado, en realidad le está dando al atacante acceso total a su cuenta de Google.

Aunque fue un ataque muy específico, no significa que el público en general no pueda ser el próximo.

"Ahora que se conoce esta evasión, podemos esperar más ataques de ingeniería social que aprovechen contraseñas específicas de aplicaciones en el futuro", advirtió Malwarebytes.

Si está preocupado por este nuevo ataque, los expertos en seguridad han emitido consejos sobre cómo mantenerse a salvo.

• Usa contraseñas de aplicaciones solo cuando sea absolutamente necesario. Si puedes cambiar a aplicaciones y dispositivos que admitan métodos de inicio de sesión más seguros, hazlo.

La recomendación de habilitar la MFA sigue vigente, pero no todas las MFA son iguales. Las aplicaciones de autenticación (como Google Authenticator) o las claves de seguridad de hardware (FIDO2/WebAuthn) son más resistentes a los ataques que los códigos basados ​​en SMS, y mucho menos las contraseñas de las aplicaciones.

Infórmese periódicamente y capacite a los demás sobre cómo reconocer los intentos de phishing. Los atacantes suelen eludir la autenticación multifactor (MFA) engañando a los usuarios para que revelen sus credenciales o contraseñas de aplicaciones mediante phishing.

• Vigile los intentos de inicio de sesión inusuales o comportamientos sospechosos, como inicios de sesión desde ubicaciones o dispositivos desconocidos. Y limite esos inicios de sesión siempre que sea posible.

Actualice periódicamente su sistema operativo y las aplicaciones que usa para corregir las vulnerabilidades que los atacantes podrían explotar. Active las actualizaciones automáticas siempre que sea posible para no tener que recordarlo.

• Utilice software de seguridad que pueda bloquear dominios maliciosos y reconocer estafas.