El último ataque de Gmail impulsado por IA

Google ha implementado protecciones cada vez más sofisticadas contra aquellos que podrían comprometer su cuenta de Gmail, pero los piratas informáticos que utilizan ataques impulsados por IA también están evolucionando. 

Según las propias cifras de Google, actualmente hay más de 2.500 millones de usuarios del servicio de Gmail. No es de extrañar, entonces, que sea un objetivo tan importante para piratas informáticos y estafadores. Esto es lo que necesitas saber.

{getCard} $type={post} $title={Recomendado}

El último ataque de Gmail impulsado por IA es aterradoramente bueno

Sam Mitrovic, un consultor de soluciones de Microsoft, ha emitido una advertencia después de casi ser víctima de lo que se describe como una "llamada de estafa de IA súper realista" capaz de engañar incluso a los usuarios más experimentados.

Todo comenzó una semana antes de que Mitrovic se diera cuenta de la sofisticación del ataque que tenía como objetivo. "Recibí una notificación para aprobar un intento de recuperación de la cuenta de Gmail", relata Mitrovic en una publicación de blog advirtiendo a otros usuarios de Gmail de la amenaza en cuestión. 

La necesidad de confirmar la recuperación de una cuenta, o el restablecimiento de la contraseña, es una notoria metodología de ataque de phishing destinada a llevar al usuario a un portal de inicio de sesión falso donde debe ingresar sus credenciales para informar la solicitud como no iniciada por él.

Como era de esperar, Mitrovic no cayó en la trampa e ignoró la notificación que parecía originarse en los EE. UU. y una llamada telefónica perdida, relacionada con Google en Sydney, Australia, unos 40 minutos después. Hasta ahora, todo es relativamente sencillo y fácil de evitar. Luego, casi exactamente una semana después, la diversión comenzó en serio: otra solicitud de notificación para la aprobación de la recuperación de la cuenta seguida de una llamada telefónica 40 minutos después. 

Esta vez, Mitrovic no perdió la llamada y, en cambio, contestó: una voz estadounidense, que decía ser del soporte de Google, confirmó que había actividad sospechosa en la cuenta de Gmail.

"Me pregunta si estoy de viaje", dijo Mitrovic, "cuando le dije que no, me pregunta si me conecté desde Alemania, a lo que respondo que no". Todo esto para generar confianza en la persona que llama y miedo en el destinatario. Fue entonces cuando las cosas se oscurecieron rápidamente y realmente fueron bastante inteligentes en el esquema general de las cosas de phishing. 

La llamada persona de soporte de Google informó a Mitrovic que un atacante había accedido a su cuenta de Gmail durante los últimos 7 días y ya había descargado los datos de la cuenta. Esto hizo sonar las alarmas, ya que Mitrovic recordó la notificación de recuperación y la llamada perdida de una semana antes.

Al buscar en Google el número de teléfono desde el que lo llamaban mientras hablaba, Mitrovic descubrió que, de hecho, conducía a páginas comerciales de Google. Esto por sí solo es una táctica inteligente que probablemente engañará a muchos usuarios desprevenidos atrapados en el pánico del momento, ya que no se trataba de un número de soporte de Google, sino de recibir llamadas del Asistente de Google. 

"Al comienzo de la llamada, escuchará el motivo de la llamada y que la llamada es de Google. Puede esperar que la llamada provenga de un sistema automatizado o, en algunos casos, de un operador manual", informa útilmente la página 100% genuina al lector.

Lecciones que se pueden aprender de este hackeo de Gmail que estuvo a punto de fallar

Mitrovic hizo lo correcto, o al menos lo mejor que podía hacer después de colgar, y le pidió al supuesto chico de soporte que enviara un correo electrónico de confirmación, un correo electrónico que llegó poco después, desde un dominio de Google y que parecía genuino a todos los efectos. En este punto, se dio cuenta de que el campo de destino contenía una dirección ingeniosamente disfrazada que en realidad no era un dominio de Google, pero que podría, una vez más, engañar fácilmente a aquellos que no tenían una inclinación técnica.

Sin embargo, el verdadero indicio para Mitrovic fue cuando la persona que llamó saludó y, después de no obtener respuesta, volvió a saludar. "En este punto, lo lancé como una voz de IA, ya que la pronunciación y el espaciado eran demasiado perfectos", dijo Mitrovic.

Vale la pena leer el blog original de Mitrovic, ya que contiene muchos más detalles técnicos y trabajo de detective que no tengo espacio para cubrir en este informe. El conocimiento lo es todo, y la inteligencia de amenazas proporcionada por este consultor es realmente invaluable para cualquiera que pueda encontrarse en una situación similar: prevenido está advertido.

Es casi una certeza que el atacante habría continuado hasta un punto en el que se iniciaría el llamado proceso de recuperación, en realidad se trataría de un portal de inicio de sesión clonado que capturaría las credenciales del usuario y probablemente el uso de algún tipo de malware de robo de cookies de sesión para eludir la autenticación de dos factores si estuviera en su lugar.

{getCard} $type={post} $title={Recomendado}

Google lanza el intercambio global de señales para luchar contra los estafadores

Google ha anunciado que ha unido fuerzas con la Alianza Global Anti-Estafa y la Federación de Investigación del DNS para formar una nueva iniciativa en la batalla contra los estafadores. Global Signal Exchange actuará como una plataforma de intercambio de inteligencia cuando se trate de estafas y fraudes, proporcionando información en tiempo real sobre la cadena de suministro del cibercrimen.

 Como primer miembro fundador del Global Signal Exchange, Google espera que la plataforma se convierta, en efecto, en un centro de intercambio de información global para el tipo de señales de inteligencia que están conectadas con los malos actores y sus ataques.

Amanda Storey, directora senior de confianza y seguridad de Google, dijo que la colaboración "aprovecha las fortalezas de cada socio". Dado que GASA cuenta con una amplia red de partes interesadas y la Fundación de Investigación del DNS es una plataforma de datos con más de 40 millones de señales existentes, "GSE tiene como objetivo mejorar el intercambio de señales de abuso, permitiendo una identificación e interrupción más rápidas de actividades fraudulentas en varios sectores, plataformas y servicios".

El objetivo final, confirmó Google, es crear una solución que no solo opere a la escala casi impensable de Internet, sino que lo haga de una manera eficiente y, sobre todo, fácil de usar. Esto significa que las organizaciones que califiquen podrán usarlo para devolver el golpe a los estafadores. 

Google ya tiene mucha experiencia en este campo, con una larga historia de asociaciones para ayudar a combatir el fraude. De hecho, como parte de las pruebas del nuevo Global Signal Exgcnage, Google compartió más de 100.000 URL maliciosas y consumió la asombrosa cantidad de millones de señales de estafa para su análisis. 

"Comenzaremos compartiendo las URL de Google Shopping que hemos accionado bajo nuestras políticas de estafas", dijo Nafis Zebarjadi, gerente de productos de seguridad de cuentas de Google, "y a medida que adquiramos experiencia con el piloto, buscaremos agregar datos pronto de otras áreas de productos relevantes de Google".

El Global Signal Exchange, o al menos el motor que lo impulsa, se ejecuta en Google Cloud para permitir que todos los participantes compartan y consuman señales de inteligencia mientras "se benefician de las capacidades de IA de Google Cloud Platform para encontrar patrones y hacer coincidir las señales de manera inteligente", concluyó Storey.

Mantenerse a salvo de las estafas más avanzadas de Gmail

Los deepfakes de IA no sólo se utilizan para la pornografía y la política, sino que se utilizan para perpetrar apropiaciones de cuentas aparentemente sencillas, como en este caso. Mantenga la calma si alguien se le acerca y dice ser del soporte de Google, no lo llamarán, por lo que hay una señal de alerta masiva de inmediato, y no le ocurrirá ningún daño si cuelga. Utilice las herramientas a su disposición, irónicamente la búsqueda de Google y su cuenta de Gmail, para realizar comprobaciones durante la llamada si le preocupa que pueda ser genuina e ignorarla pueda causar daño. Busque el número de teléfono, vea de dónde proviene realmente. 

Comprueba tu actividad de Gmail para ver qué dispositivos, si los hay, distintos del tuyo han estado utilizando la cuenta. Toma nota de lo que dice Google sobre mantenerse a salvo de los atacantes que utilizan estafas de phishing en Gmail. 

Lo más importante es que nunca te apresures a hacer una reacción instintiva, sin importar cuánta urgencia se inyecte en una conversación. Es ese sentido de urgencia en el que confían los atacantes para desviar su buen juicio normal y hacer clic en un enlace o renunciar a las credenciales.