El secuestro de cuentas ya no depende de romper contraseñas complejas o de saltarse el doble factor de autenticación (MFA) por fuerza bruta. Los últimos informes de Google Threat Intelligence detallan cómo tres grupos de espionaje vinculados a Rusia (UNC6293, UNC7005 y UNC5976) están explotando flujos legítimos de autorización. En lugar de robar credenciales, engañan al usuario para que les conceda acceso permanente mediante tokens de OAuth de Google o vinculando dispositivos adicionales en WhatsApp.
Este enfoque es especialmente peligroso para administradores de sistemas y equipos de seguridad. Al utilizar mecanismos nativos y autorizados por el propio usuario, las herramientas tradicionales de detección de endpoints (EDR) o los firewalls no suelen levantar alertas de tráfico malicioso. El atacante simplemente utiliza la API legítima con un token válido.
La mecánica del consentimiento engañoso y la persistencia
El vector de ataque inicial sigue siendo el phishing personalizado, pero con un giro técnico moderno conocido como consent phishing. Los atacantes crean aplicaciones maliciosas en Google Cloud y solicitan permisos (scopes) de OAuth que les permiten leer correos, acceder a Google Drive o gestionar la identidad del usuario de manera persistente ("offline access"). Una vez que la víctima hace clic en "Aceptar", el atacante obtiene un refresh token. Aunque el usuario cambie su contraseña, el token sigue siendo válido hasta que se revoque explícitamente.
En el caso de WhatsApp, los atacantes convencen a la víctima para que escanee un código QR bajo algún pretexto técnico o de soporte. Al hacerlo, vinculan una instancia de WhatsApp Web o de escritorio controlada por el atacante. Esto les otorga acceso completo al historial de chats y la capacidad de enviar mensajes haciéndose pasar por la víctima, saltándose por completo el cifrado de extremo a extremo en el dispositivo del atacante.
Configuración de políticas de OAuth restrictivas en Google Workspace
Para mitigar el abuso de OAuth en entornos corporativos, la barra libre de consentimiento de aplicaciones debe cerrarse de inmediato. Como administrador de Google Workspace, debes aplicar estas medidas en la consola de administración:
- Restringir el acceso a las API de Google: Ve a Seguridad > Control de acceso y de datos > Control de API. Configura la política para que las aplicaciones de terceros no configuradas tengan el acceso bloqueado de forma predeterminada.
- Lista blanca de aplicaciones autorizadas: Obliga a que cualquier aplicación que solicite acceder a datos del dominio requiera aprobación explícita del departamento de TI antes de que el usuario pueda autorizarla.
- Auditar los tokens existentes: Utiliza el registro de auditoría de tokens de OAuth para identificar aplicaciones sospechosas con permisos amplios (como
gmail.readonlyo acceso a Drive) concedidas a usuarios de alto perfil.
Control de dispositivos vinculados en mensajería corporativa
Si tu organización utiliza WhatsApp para comunicaciones operativas o si tus usuarios clave lo manejan en dispositivos corporativos, la mitigación requiere un enfoque de endurecimiento del endpoint y auditoría:
- Bloqueo de WhatsApp Web no corporativo: Si utilizas soluciones de filtrado web o proxy corporativo, bloquea el dominio
web.whatsapp.comen los equipos de la organización a menos que esté explícitamente justificado. - Auditorías periódicas en el dispositivo: Instruye a los usuarios para que revisen periódicamente la sección "Dispositivos vinculados" dentro de la aplicación móvil de WhatsApp y fuercen el cierre de cualquier sesión activa que no reconozcan de inmediato.
- Protección biométrica para vinculación: Asegúrate de que los dispositivos móviles corporativos tengan activa la autenticación biométrica (FaceID/huella) obligatoria antes de permitir la vinculación de cualquier nuevo dispositivo en WhatsApp.
Comentarios