Enlaces de robo de identidad enviados a través de notificaciones legítimas de Google Drive

 Stu Sjouwerman

Los estafadores están abusando de una función de Google Drive para enviar enlaces de phishing en notificaciones automáticas por correo electrónico de Google, informa WIRED. Al mencionar a un usuario de Google en un documento de Drive, los estafadores pueden hacer que Google genere una notificación que se enviará directamente a la bandeja de entrada del usuario, sin pasar por los filtros de spam.

   

"La parte más inteligente de la estafa es que los correos electrónicos y las notificaciones que genera provienen directamente de Google", explica WIRED. “En el móvil, la estafa utiliza la función de colaboración en Google Drive para generar una notificación de inserción que invita a las personas a colaborar en un documento. Si se toca, la notificación lo lleva directamente a un documento que contiene un vínculo muy grande y tentador. Una notificación por correo electrónico creada por la estafa, que también proviene de Google, también contiene un enlace potencialmente malicioso. A diferencia del spam regular, que Gmail hace un buen trabajo filtrando, este mensaje no solo llega a su bandeja de entrada, sino que obtiene una capa adicional de legitimidad al provenir del propio Google ".

WIRED dice que esta técnica se ha observado con frecuencia durante las últimas semanas, por lo que los usuarios deben estar atentos.

“Los estafadores se están abriendo camino a través de una enorme lista de cuentas de Gmail, y decenas de personas informaron versiones similares del ataque en las últimas semanas”, dice WIRED.

Google dijo que está trabajando en nuevas formas de detectar actividad maliciosa, pero David Emm, un investigador principal de seguridad de Kaspersky, le dijo a WIRED que esto podría ser un desafío.

"Es difícil para Google hacer algo si la notificación proviene de una cuenta legítima, que es, por supuesto, fácil de crear", dijo Emm. “Evite hacer clic en enlaces no solicitados de cualquier tipo cuando se envíen desde fuentes desconocidas. Si no esperaba recibirlo y no conoce al remitente, no responda ".

En este caso, los mensajes están escritos de forma torpe y harían sospechar a muchos usuarios. Sin embargo, un atacante con más talento podría fácilmente crear una estafa mucho más convincente utilizando este método. Este ataque es particularmente insidioso en el contexto organizacional, donde los compañeros de trabajo comúnmente comparten su producto de trabajo usando Google Docs. La capacitación en concientización sobre seguridad en la

nueva escuela puede ayudar a sus empleados a evitar caer en técnicas de phishing nuevas e inesperadas.

¡Acercate a nosotros!

Más información