Google corrige un agujero grave en Gmail

La compañí­a de Internet ha corregido una vulnerabilidad grave en su servicio de correo electrónico Gmail. En concreto, del proceso de recuperación de la contraseña, uno de los procesos más tí­picos en los que suelen centrarse los ataques de los cibercriminales. Un investigador privado encontró el modo de crear un ataque de phishing capaz de engañar al usuario y robar la contraseña de la cuenta. El gran problema de este ataque estriba en que en uno de los pasos del engaño el usuario visita una página web con el cifrado HTTPS y que es legí­tima de Google.

El agujero en cuestión permitirí­a a un cibercriminal realizar un ataque dirigido contra un usuario, con solo contar con el correo electrónico de la ví­ctima. Para llevar a cabo esta amenaza, el cibercriminal enví­a un correo electrónico directamente al usuario a través de una dirección que parezca legí­tima. En el mismo el atacante se presenta como si en realidad formara parte del servicio técnico de Gmail y le explica que lleva mucho tiempo utilizando la misma contraseña. Finalmente, le insta a confirmar que es el dueño de la cuenta de Google si pincha en un enlace incluido dentro del mensaje. El problema en este punto es que la página a la que dirige el enlace es realmente una web legí­tima de la compañí­a del buscador, que además usa el protocolo seguro HTTPS.

La página en cuestión se ha tomado (o «robado») del proceso de recuperación de contraseña de Gmail y muestra un mensaje en el que se confirma que el usuario es legí­timo y que cuenta con un botón para «resetear la contraseña». Cuando la ví­ctima pincha sobre el botón se le pregunta por la última contraseña conocida del usuario. Y esta información llega directamente al cibercrminal, que ahora puede entrar en el correo del usuario, cambiar la contraseña y pasar a controlar la cuenta. O simplemente espiar los correos de la ví­ctima sin que éste se dé cuenta. Además del correo, el cibercriminal también podrí­a alcanzar otras cuentas de servicios que se han unido a la dirección de correo de Gmail para resetear la contraseña y tener acceso a ellas, tanto dentro de Google (por ejemplo cuentas de YouTube que se hayan actualizado o el sistema de almacenamiento online Google Drive) como externos a la compañí­a.

La buena noticia sobre este agujero es que Google ha actuado muy rápido, ya que en menos de dos semanas ha lanzado un parche que corrige la vulnerabilidad y que impide que se pueda aprovechar esta página legí­tima con el protocolo HTTPS a a la hora de intentar ataques de phishing. El hacker que encontró la vulnerabilidad informó del agujero de forma privada a Google y solo ahora ha publicado la información sobre el ataque. Además, ha anunciado que recibirá una compensación económica de la compañí­a estadounidense, que desde hace tiempo ha desplegado un programa para premiar a aquellos informáticos que sean capaces de encontrar vulnerabilidades en sus diferentes productos.