Google podrí­a estar al tanto del ataque de phishing contra Google Docs

Esta misma semana te contábamos que Google Docs habí­a sufrido sofisticado ataque de phishing. La amenaza se extendió como la pólvora en miles y miles de buzones de correo electrónico.

Sin embargo, esta amenaza podrí­a haber sido anticipada por la propia Google. Los cibercriminales que estarí­an detrás de este ataque podrí­an haber copiado justo esa técnica descubierta hace ya más de 6 años.

Esto significa que Google podrí­a haber estado al corriente de que algo así­ podrí­a ocurrir. Y esto es grave si tenemos en cuenta que estamos ante un ataque de proporciones cí­clopeas.

Aunque ha afectado a un 0,1% de los usuarios de Gmail y este porcentaje parezca irrisorio, conviene no perder de vista que el correo electrónico de Google tiene la friolera de mil millones de usuarios. Esto significarí­a que al menos un millón de propietarios de cuentas de Google habrí­an podido ser ví­ctimas del ataque.

phishing datos google

La solución al problema llegó pronto

La solución a la vulnerabilidad en cuestión llegó pronto. Si bien es cierto que nadie duda de la capacidad de los ingenieros de Google, llama la atención que el parche llegara tan pronto.

El equipo de la de Mountain View consiguió que ese famoso mensaje de correo electrónico fuera detectado como spam. Esto hizo que ya no llegara a manos de la gran mayorí­a de usuarios.

Parece ser que esta efectividad tendrí­a que ver con el hecho de que Google ya tuviera constancia de la posibilidad de un ataque de este tipo. En 2011 un tal Andre DeMarre, experto en seguridad, contó al mundo cómo podrí­a llevarse a cabo un ataque de phishing de estas caracterí­sticas.

La estratagema se agarrarí­a al sistema de permisos de la aplicación, basado en el estándar OAuth 2. El mismo que usan un buen número de proveedores de aplicaciones web.

Esto facilitarí­a el acceso de los hackers y la vulneración de la nube, el correo electrónico y en este caso, el acceso a todo el ecosistema de Google. Los sitios que se usaron para este ataque usaban dominios imitando a Google.

Tal como te contamos justo después del descubrimiento del ataque, este emplearí­a un script de Google Apps. Se usarí­a, digamos, el sistema de Google contra sí­ mismo, entregando todos los permisos a una aplicación llamada Documentos de Google.

Lo más probable es que al leer algo parecido como “Google Inc.”, confiemos sin extrañarnos en el documento. Mucho más si además de esto, el correo parece que procede de uno de nuestros contactos. Que es justo lo que ocurrió en este caso.

Google habrí­a sido advertida

El investigador Andre DeMarre habrí­a enviado un informe a Google contándole la naturaleza de este ataque. Y parece, además, que lo habrí­a hecho a través de un programa especí­fico que la compañí­a abre para recibir avisos sobre posibles agujeros de seguridad peligrosos.

Tanto es así­ que Google compensó económicamente a DeMarre por su labor de investigación. Según este hombre, para detectar posibles fraudes serí­a suficiente con comprobar el nombre de la aplicación y la URL. Serí­a imprescindible, pues, que coincidieran.

Tiempo después, el equipo de Google se puso en contacto con el investigador para indicarle que no serí­a necesario seguir el ritual propuesto por él mismo. ¿La razón? Habrí­an encontrado un nuevo sistema para comprobar si alguien estaba intentando vulnerarlo.

En cualquier caso, los atacantes que pusieron en marcha este ataque se permitieron el lujo de usar “Google Docs” para llevarlo a cabo. Esto hizo que fuera difí­cil darse cuenta de que en realidad se trataba de una peligrosa amenaza.

Lo peor de todo es que en ataques futuros, podrí­an usarse nombres empleados comúnmente en los archivos de Drive para ser todaví­a más sibilinos en el ataque. A no ser que Google no lo permita, desplegando un sistema de protección más efectivo que el actual.

RECIBE NUESTRO NEWSLETTER
Suscríbete para recibir las últimas noticias de tecnología en tu buzón. Te mandaremos un único mail al día con el resumen de los titulares de las noticias, trucos, comparativas, reviews publicadas en nuestras webs.
Servicio ofrecido por Mailchimp

Otras noticias sobre... , ,