Un clic y el correo es suyo
El FBI ha advertido de un método que permite a los delincuentes acceder al correo electrónico y a otros datos de un usuario sin robarle la contraseña. Basta con que la víctima pulse una vez «Permitir» en una página auténtica de Google, Microsoft u otro servicio conocido.
El ataque se llama OAuth consent phishing, o phishing mediante consentimiento de OAuth. OAuth (Open Authorization, «autorización abierta») es un estándar de Internet que permite a una aplicación de terceros acceder a la cuenta del usuario sin que este le facilite la contraseña. Por ejemplo, al instalar una aplicación, alguien pulsa «Continuar con Google» y el servicio pregunta si puede dar acceso a la aplicación al correo electrónico. Si el usuario acepta, Google proporciona a la aplicación un token de acceso especial. Con él, el programa puede acceder a los datos autorizados sin conocer la contraseña.
El ataque se basa precisamente en la confianza que inspira esta función. Primero, los delincuentes registran una aplicación maliciosa en una plataforma legítima, por ejemplo, en el ecosistema de Google o Microsoft. Después contactan con su objetivo a través de aplicaciones de mensajería y se hacen pasar por funcionarios, periodistas, representantes de medios de comunicación u otras personas conocidas. El mensaje suele incluir un enlace a un documento u otro archivo aparentemente inofensivo.
Al pulsar el enlace, el usuario llega a la página auténtica del servicio. Puede que no haya ningún sitio falso sospechoso: Google o Microsoft muestran realmente una ventana para solicitar permisos. El usuario ve el logotipo conocido y, creyendo que está autorizando el acceso al documento, pulsa «Permitir». En ese momento, la aplicación maliciosa recibe el token concedido.
A partir de ahí, los delincuentes pueden leer correos, acceder a los datos de la cuenta y enviar mensajes a los contactos de la víctima. Así, el pirateo se convierte en una campaña de mensajes enviados en nombre del titular: una forma cómoda de engañar a más gente. En algunos casos, los atacantes también pueden acceder a conversaciones con información sensible.
Hay un detalle desagradable que es fácil pasar por alto: cambiar la contraseña no resuelve el problema por sí solo. El token ya concedido puede seguir activo, así que hay que revocar el acceso por separado en los ajustes de seguridad de la cuenta, en el apartado de aplicaciones conectadas y permisos.
El FBI informó de la amenaza a través de su centro Internet Crime Complaint Center (IC3). La agencia no identificó a los delincuentes ni precisó a quiénes habían atacado; solo señaló que entre las víctimas había personas conocidas. Sus familiares también fueron objeto de ataques. El método lleva más de un año en uso y se ha extendido tanto que ha llamado la atención de las fuerzas federales de seguridad de Estados Unidos.
La conclusión práctica es sencilla: ni siquiera una página auténtica de Google o Microsoft garantiza que el permiso solicitado sea seguro. Antes de pulsar «Permitir», hay que comprobar el nombre de la aplicación, la lista de permisos que solicita y el origen del mensaje. Si ya se ha concedido acceso a un programa sospechoso, hay que revocarlo de inmediato en los ajustes de la cuenta, en lugar de limitarse a cambiar la contraseña.
PEREC.RU
El artículo explica el método de phishing OAuth consent phishing, sobre el que ha advertido el FBI de Estados Unidos a través del centro Internet Crime Complaint Center (IC3). El ataque no requiere que los delincuentes averigüen la contraseña del usuario: consiguen que este les conceda voluntariamente acceso mediante la ventana estándar de permisos de Google, Microsoft u otra plataforma conocida.
OAuth (Open Authorization) es un estándar de Internet para autorizar aplicaciones de terceros. Permite que una aplicación acceda a determinados datos de una cuenta sin obtener la contraseña. Por ejemplo, el usuario elige «Continuar con Google» y el servicio muestra una lista de permisos solicitados. Si acepta, el servicio entrega a la aplicación un token de acceso, una llave digital especial que permite acceder a los datos autorizados.
Los delincuentes emplean este mecanismo en varias etapas. Primero registran una aplicación maliciosa en una plataforma legítima. Después contactan con la posible víctima mediante una aplicación de mensajería, haciéndose pasar por funcionarios, periodistas, representantes de medios de comunicación u otras personas conocidas. Envían un enlace a un documento u otro material que parece normal e inocuo.
El enlace lleva al usuario a una página auténtica de Google o Microsoft, donde aparece una solicitud real de permisos. Por eso el ataque puede parecer más convincente que el phishing habitual: la víctima no ve ninguna página falsificada evidente y confía en el servicio conocido. Al pulsar «Permitir», la aplicación maliciosa recibe el token de acceso.
A continuación, los atacantes pueden acceder al correo electrónico y a otros datos autorizados de la cuenta. Pueden leer mensajes y enviar correos a los contactos de la víctima en su nombre, utilizando la cuenta pirateada para seguir engañando a otras personas. Una característica clave del método es que cambiar la contraseña no revoca automáticamente el token ya concedido. Para cerrar el acceso hay que eliminar el permiso o revocar el token por separado en los ajustes de seguridad de la cuenta, en el apartado de aplicaciones conectadas.
El FBI no identificó a los organizadores, no precisó la lista completa de objetivos ni indicó desde qué países operaban los delincuentes. La agencia declaró que entre las víctimas había personas conocidas o influyentes y que sus familiares también eran objeto de ataques. Según la advertencia, el método lleva más de un año en uso y se ha extendido lo suficiente como para atraer la atención de las fuerzas federales de seguridad de Estados Unidos.
La conclusión práctica principal es que el aspecto oficial de una página no significa que sea seguro conceder el permiso. Antes de pulsar «Permitir», hay que comprobar el nombre de la aplicación, la lista de permisos que solicita y el contexto en el que apareció el enlace. Si se sospecha que se ha concedido acceso por error, no basta con cambiar la contraseña: también hay que revocar el permiso de inmediato en los ajustes de la cuenta.
