Consultor de Microsoft advirtió sofisticada estafa de Gmail con IA: "Es probable que muchos caigan"

Ciberdelincuentes diseñaron una nueva estafa en la que utilizan inteligencia artificial (IA) para engañar a usuarios de Gmail a través de una llamada telefónica, con correos y métodos “sofisticados”, según advirtió recientemente Sam Mitrovic, consultor independiente de seguridad para Microsoft.

“La gente está ocupada y esta estafa sonaba y parecía lo suficientemente legítima como para que les diera una A por su esfuerzo. Es probable que muchas personas caigan en la trampa“, escribió Mitrovic en su blog.

De acuerdo con el experto, todo comienza con un correo que escala a una llamada telefónica que utiliza una IA superrealista. De hecho, él fue una de las víctimas, aunque sus conocimientos no le permitieron caer en el engaño.

Nueva estafa de Gmail para robar cuentas

Mitrovic explicó que un día recibió una notificación para aprobar un intento de recuperación de su cuenta de Gmail. Al no ser él quien intentaba recuperar la cuenta, rechazó la solicitud y posteriormente recibió una llamada, la cual se identificaba como “Google Sydney”. En ese momento, decidió no contestar.

Una semana después, ocurrió exactamente lo mismo, por lo que decidió contestar. Del otro lado, le respondió “una voz americana, muy educada y profesional. El número es australiano. Se presenta y dice que hay actividad sospechosa en mi cuenta. Él me pregunta si estoy de viaje, cuando le digo que no, me pregunta si he iniciado sesión desde Alemania, a lo que respondo que no”.

“Dice que alguien ha tenido acceso a mi cuenta durante una semana y que ha descargado los datos de la cuenta (luego recibo un flashback de la notificación de recuperación de una semana antes)”, explica.

Mitrovic revisó rápidamente el número haciendo una búsqueda en internet, y este lo llevó a la página oficial de soporte para llamadas de asistencia de Google, donde aparece el mismo número.

“El número parece legítimo, aunque soy consciente de lo fácil que es falsificarlo. Luego le pido que me envíe un correo electrónico. Él amablemente me responde que lo hará y que le dé un momento”, agrega.

El consultor de Microsoft dice que en la llamada se escuchaba un ruido de fondo similar al ruido de un Call Center y que incluso pudo escuchar a “la persona” tecleando en su computadora.

“Me dice que ha enviado el correo electrónico. Después de unos momentos, el correo electrónico llega y, a primera vista, parece legítimo: el remitente es de un dominio de Google“, describe. Sin embargo, para él, falsificar un correo electrónico que parezca real es fácil y pronto encontró el detalle que los delataría.

“Observo que el campo ‘Para’ contiene una dirección de correo electrónico llamada inteligentemente GoogleMail en InternalCaseTracking punto com (dominio que no es de Google)“, concluye.

El experto dijo que colgó y verificó el historial de su cuenta de Google para revisar si hubo algún intento de recuperación de credenciales que no fuera suyo, o que ocurriera desde Alemania, pero no encontró nada.

Tras una búsqueda más exhaustiva, indagó en el correo electrónico que le llegó y concluyó que los ciberdelincuentes utilizan Salesforce CRM, una plataforma que les permite configurar el remitente como quieran y enviar a través de los servidores de Gmail/Google.

“Si hubiera permanecido en la llamada el tiempo suficiente, creo que el siguiente paso sería aprobar la notificación de recuperación de la cuenta. Después de eso, habrían obtenido el control de la cuenta“, advirtió.

Mitrovic se salvó de la estafa de Gmail porque trabaja en ciberseguridad, pero una persona que desconoce esta área, podría ser fácilmente engañada. “Las estafas son cada vez más sofisticadas, más convincentes y se llevan a cabo a una escala cada vez mayor. (…) Hay muchas herramientas para luchar contra los estafadores, sin embargo, a nivel individual la mejor herramienta sigue siendo la vigilancia, realizando las comprobaciones básicas mencionadas anteriormente o buscando ayuda de alguien de confianza”, recomiendó.

I wrote about my experience with a similar Google AI scam. It's elaborate and super realistic:https://t.co/pEdMhpjZ5y https://t.co/VvwEtZ684K

— Sam Mitrovic (@SamMitrovic) October 11, 2024