Categoría: Ciberseguridad y Protección de Datos

Actualización, 13 de octubre de 2024: Esta historia, publicada originalmente el 11 de octubre, incluye detalles de una nueva iniciativa de alianza antiestafas de Google, una nueva advertencia sobre estafas de soporte que parecen legítimas y detalles del Programa de protección avanzada de Google para proteger las cuentas de alto riesgo. Google ha implementado protecciones cada vez más sofisticadas contra aquellos que quieran comprometer su cuenta de Gmail, pero los piratas informáticos que utilizan ataques basados ​​en inteligencia artificial también están evolucionando. Según las propias cifras de Google, actualmente hay más de 2.500 millones de usuarios del servicio Gmail. No es de extrañar, entonces, que sea un objetivo tan importante para los piratas informáticos y los estafadores. Esto es lo que necesita saber. El último ataque a Gmail impulsado por IA es aterrador Sam Mitrovic, consultor de soluciones de Microsoft, ha lanzado una advertencia después de casi ser víctima de lo que se describe como una “llamada de estafa de inteligencia artificial súper realista” capaz de engañar incluso a los usuarios más experimentados. Todo empezó una semana antes de que Mitrovic se diera cuenta de la sofisticación del ataque que lo perseguía. “Recibí una notificación para aprobar un intento de recuperación de cuenta de Gmail”, relata Mitrovic en una publicación de blog en la que advertía a otros usuarios de Gmail sobre la amenaza en cuestión. La necesidad de confirmar una recuperación de cuenta, o un restablecimiento de contraseña, es una metodología de ataque de phishing notoria destinada a llevar al usuario a un portal de inicio de sesión falso donde debe ingresar sus credenciales para informar que la solicitud no fue iniciada por él. Como era de esperar, Mitrovic no se dejó engañar y ignoró la notificación que parecía proceder de Estados Unidos y una llamada perdida, supuestamente de Google en Sydney, Australia, unos 40 minutos después. Hasta ahí, todo relativamente sencillo y fácil de evitar. Luego, casi exactamente una semana después, empezó la diversión en serio: otra notificación solicitando la aprobación de la recuperación de la cuenta seguida de una llamada telefónica 40 minutos después. Esta vez, Mitrovic no perdió la llamada y, en cambio, contestó: una voz estadounidense, que decía ser del servicio de asistencia de Google, confirmó que había actividad sospechosa en la cuenta de Gmail. “Me pregunta si estoy de viaje”, dijo Mitrovic, “cuando le dije que no, me preguntó si había iniciado sesión desde Alemania, a lo que respondí que no”. Todo esto para generar confianza en el que llamaba y miedo en el receptor. Fue entonces cuando las cosas se pusieron oscuras rápidamente y realmente bastante astutas en el esquema general de phishing. La supuesta persona de soporte de Google informó a Mitrovic que un atacante había accedido a su cuenta de Gmail durante los últimos 7 días y ya había descargado datos de la cuenta. Esto hizo sonar las alarmas cuando Mitrovic recordó la notificación de recuperación y la llamada perdida de una semana antes. Al buscar en Google el número de teléfono desde el que lo llamaban mientras hablaba, Mitrovic descubrió que, efectivamente, conducía a páginas de empresas de Google. Esta es una táctica inteligente que probablemente engañe a muchos usuarios desprevenidos, atrapados en el pánico del momento, ya que no se trataba de un número de soporte de Google, sino de recibir llamadas del Asistente de Google. “Al comienzo de la llamada, escuchará el motivo de la llamada y que la llamada es de Google. Puede esperar que la llamada provenga de un sistema automatizado o, en algunos casos, de un operador manual”, informa amablemente al lector la página 100% genuina . Otra estafa de soporte de Google impulsada por IA genera advertencias para los usuarios de Gmail Garry Tan, el fundador de la firma de capital de riesgo y aceleradora de startups Y Combinator, ha recurrido a X, antes conocida como Twitter, para emitir una advertencia sobre otra estafa de phishing que describió como «bastante elaborada» y que también aprovecha la inteligencia artificial para presentarse como creíble. Una vez más, al igual que con la estafa que casi engañó a Sam Mitrovic, un consultor de seguridad (recuerde), esta última advertencia se refiere al contacto de un supuesto técnico de soporte de Google. No iría tan lejos como un comentarista en X que sugirió que la pista era que Google no tiene ningún tipo de soporte para los usuarios, pero no está tan lejos de la verdad cuando se trata de estas estafas: el soporte de Google no se pondrá en contacto con usted de la nada de esta manera. «No haga clic en sí en este cuadro de diálogo», advirtió Tan, «será víctima de phishing». En el caso de la estafa que tenía como objetivo a Tan, el supuesto empleado de soporte de Google afirmó que la empresa había recibido un certificado de defunción y que un miembro de la familia estaba intentando recuperar su cuenta. En otras palabras, el que llamaba (y solo una IA podría ser tan estúpida) estaba comprobando que la persona que respondía estuviera viva. “Es una estrategia bastante elaborada para que permitas la recuperación de contraseña”, continuó Tan, pero se dio cuenta de que la pantalla de recuperación de cuenta que se le presentó tenía un campo de dispositivo que mostraba el nombre de un empleado de soporte de Google en lugar de un dispositivo real utilizado para acceder a la cuenta. Tan sugirió que quien haya diseñado la interfaz para la recuperación debería emplear algunas comprobaciones de expresiones regulares bastante básicas, o incluso detección de fraude basada en IA, en el campo de texto en cuestión. “Es trivial comprobar el nombre del dispositivo para esto”, concluyó. Parte de la estafa consistía en hacer que Tan volviera a añadir su número de teléfono móvil como parte del proceso de verificación para activar un cuadro de diálogo de recuperación de cuenta. Sin embargo, Tan era prudente: “Me han cambiado la SIM, así que sé que no debo tener mi móvil en mis cuentas nunca”, explicó Tan. Cómo usar formularios de Google para