El correo advierte sobre una supuesta contraseña creada para acceder a Gmail y lleva a una página con un CAPTCHA falso. Cómo funciona el engaño
Los ciberdelincuentes innovan constantemente en sus métodos, haciéndolos cada vez más sofisticados. La última modalidad es a través de una falsa alerta de Google para obtener los datos de las cuentas de Gmail.
La maniobra simula los mecanismos de recuperación de perfil y los avisos de vulneración de privacidad para llevar al usuario a un página similar que busca generar confianza antes de solicitar las credenciales.
Cómo funciona la estafa que suplanta a Google
El primer paso es un correo que advierte al usuario sobre la creación de una contraseña de aplicación que el titular supuestamente no reconoce. El mensaje incluye un botón para revisar la actividad de la cuenta y busca transmitir la sensación de que hay un problema de seguridad que requiere atención inmediata.
Al hacer clic en el enlace, la víctima llega a una página alojada en Google Sites que imita la apariencia de un sitio oficial. Allí aparece una supuesta verificación CAPTCHA, similar a las que se utilizan para comprobar que una persona no es un robot. Después, la página solicita los datos de acceso a la cuenta.
El objetivo es capturar el usuario y la contraseña para intentar acceder a la cuenta de Google y a los servicios vinculados. Si los atacantes consiguen ingresar, podrían intentar acceder a información almacenada en Gmail, Drive o YouTube, además de utilizar la cuenta comprometida para otras maniobras.
Uno de los aspectos más engañosos es el uso de Google Sites. Que una dirección pertenezca a un servicio legítimo de Google no significa que la empresa haya creado o aprobado el contenido publicado allí. Los atacantes pueden aprovechar plataformas confiables para alojar páginas fraudulentas y reducir las sospechas de los usuarios.
Cómo saber si una alerta de Google es falsa
Una de las primeras medidas es revisar la dirección completa del enlace antes de abrirlo. No alcanza con comprobar que el nombre Google aparece en la dirección o que la página tiene el logotipo de la compañía.
También se debe identificar cuál es el dominio real y desconfiar de las páginas que solicitan la contraseña después de abrir un enlace recibido por correo. También es conveniente revisar los datos completos del remitente.
En Gmail, desde una computadora, se pueden consultar los detalles del mensaje para comprobar la dirección y la información de envío. En muchos correos de estafas suele aparecer un dominio que no corresponde a Google, una señal que permite detectar el engaño con facilidad.
Qué hacer si recibís el correo o ya ingresaste tus datos
Si llega una alerta sospechosa, lo más seguro es no hacer clic en cualquiera de los enlaces ni responder al mensaje. Para comprobar si existe un problema real, lo aconsejable es ingresar por cuenta propia a tu cuenta de Google y corroborar si no hay ninguna notificación del problema.
Si el intento de estafa fue via Gmail, también se puede utilizar la opción “Denunciar phishing” desde el menú del correo. Esto permite informar a Google sobre el intento de engaño.
Si la persona ya escribió su contraseña en una página sospechosa, debe cambiarla de inmediato desde la página oficial, revisar los eventos de seguridad y cerrar las sesiones, como también retirar los dispositivos que no reconozca.
Por último, es conveniente comprobar los métodos de recuperación y activar la verificación en dos pasos si todavía no está habilitada.
