Google ha protagonizado un nuevo episodio de estafa que ha puesto en alerta a los expertos en seguridad. No tanto por el modus operandi, ya conocido con anterioridad, sino por las técnicas empleadas.
En la reciente campaña de ataques que ha sido detectada, los delincuentes han usado inteligencia artificial para suplantar la identidad del servicio técnico del gigante de internet de forma plausible. Su objetivo: engañar a las posibles víctimas y tener acceso a sus credenciales, un efecto especialmente crítico para autónomos y pequeños negocios, en especial para aquellos que manejan datos sensibles de clientes.
No en vano, según explicaba Fernando Ramos, CEO de BeOneSec, en el marco del VI Foro de Emprendedores y Autónomos –organizado el pasado martes por la Federación Nacional de Asociaciones de Trabajadores Autónomos (ATA)–, esta clase de fraude está tipificado como uno de los más efectivos contra los negocios. Aprovechando el nombre no sólo de Google, sino también de Microsoft o Apple. De hecho, el Centro de Denuncias de Delitos en Internet cifraba en casi 1.000 millones de dólares las pérdidas totales generadas por este método de cibercrimen para consumidores y negocios sólo el pasado año.
Los delincuentes utilizan voces generadas con IA para hacerse pasar por técnicos de Google
En particular, como informaba el portal Forbes hace unos días, un consultor de seguridad de la propia Microsoft fue el primero en dar aviso sobre un caso de suplantación del soporte de Google, del que él mismo fue objetivo. Según se detalla, el intento de engaño comenzó con el envío de varias notificaciones para aprobar la recuperación de una cuenta.
En principio, estas notificaciones podrían formar parte de los protocolos de seguridad legítimos, ya que el buscador utiliza este tipo de alertas para confirmar intentos de recuperación de cuenta o detectar actividad sospechosa. Pero el método habitual consiste en enviar mensajes a través de la aplicación o por correo electrónico.
El caso es que, tras la llegada de esos mensajes, la víctima recibió una llamada telefónica. Mitrovic buscó el número de procedencia y descubrió que, en efecto, aparecía en páginas legítimas del soporte de Google para negocios. Ahora bien, no se trata de un número de atención como tal, sino de uno vinculado a Google Assistant. Pero del que se informa que, en efecto, pueden proceder llamadas tanto de un sistema automatizado como de un operador.
Así, el consultor comenzó a conversar con el supuesto técnico, que realizó varias preguntas acerca de su situación –por ejemplo, indagando si estaba viajando o si había iniciado sesión desde localizaciones inusuales– para generar una falsa sensación de urgencia y confianza. Durante la llamada, la voz del técnico aseguró que se había detectado actividad sospechosa en su cuenta de Gmail, alertando de que un atacante había tenido acceso a la misma.
No obstante, según explicó el consultor de Microsoft, la sofisticación del ataque radicaba en que la conversación no era con una persona real, sino con un sistema de IA “sumamente realista”, según él: capaz de generar voces que incluso lograron imitar el acento y el tono de un técnico profesional. Este uso de la inteligencia artificial, que permite ajustar y personalizar la interacción en tiempo real, resultó en una estafa casi perfecta, diseñada para engañar incluso a usuarios con experiencia.
Frente a este fraude, los expertos aconsejan terminar sin más la llamada
Ante la sospecha de encontrarse frente a un intento de estafa de este tipo, lo primero es mantener la calma y actuar sin prisas. La mejor opción es, sin duda, colgar el teléfono. Aunque si se tienen dudas sobre la legitimidad del mensaje, existen una serie de pasos que conviene seguir.
Tal como evidenció el consultor de seguridad afectado por el fraude, la primera acción debe ser solicitar al supuesto técnico que envíe una confirmación por correo electrónico. Este paso no sólo crea un registro digital, que puede ser revisado detenidamente, sino que ayuda además a identificar posibles irregularidades en el remitente y en los detalles del mensaje. De hecho, esto fue exactamente lo que sucedió, ya que el correo de origen, aunque parecía proceder de un dominio genuino de Google, en realidad ocultaba una dirección de destino disfrazada.
Además, la experiencia del consultor de Microsoft reveló que, durante la llamada, el interlocutor repetía saludos sin esperar respuesta, un comportamiento que sugiere el uso de una voz generada por IA, a pesar de la perfección en la pronunciación y en el ritmo del discurso.
Ante la duda, se deben utilizar los canales de comunicación oficiales que aparecen en la página web de la empresa en cuestión, en este caso Google, para confirmar cualquier alerta o notificación que se haya recibido. A través del propio perfil de usuario es posible revisar las notificaciones de seguridad accediendo a la configuración de la cuenta y comprobando si hay alertas de actividad inusual.
Recomendaciones para que los autónomos se protejan ante ciberfraudes de este tipo
Las medidas recomendadas por los expertos en ciberseguridad contribuyen a reforzar la integridad digital y a minimizar el riesgo de incidencias derivadas de este tipo de fraudes.
- Desconfiar de las llamadas inesperadas. Se debe tener en cuenta que las grandes firmas como Google no hacen, por lo general, comunicaciones telefónicas. Por tanto, una llamada inesperada se considera una señal de alerta; en especial, cuando se acompaña de notificaciones de recuperación de cuenta que no hayan sido solicitadas.
- No interactuar con enlaces o notificaciones sospechosas. Las notificaciones relativas a la configuración de una cuenta, como la recuperación de la contraseña, suelen iniciarse únicamente cuando el titular lo solicita. Según esto, no se debe pulsar en enlaces o botones de confirmación si no se ha iniciado un proceso de recuperación o similar.
- Verificar la autenticidad de la comunicación. Es aconsejable realizar una búsqueda del número de teléfono o del remitente del correo para comprobar su legitimidad. Únicamente se deben utilizar los canales oficiales de la empresa para confirmar cualquier alerta o comunicación recibida.
- Mantener actualizadas las medidas de seguridad. Se recomienda revisar periódicamente la configuración de seguridad de las cuentas de los servicios digitales. En algunos casos, se puede incluso comprobar las sesiones activas.
- Activar métodos de autenticación adicionales. Los cada vez más extendidos sistemas de autenticación en dos pasos (2FA) añaden una capa extra de protección en caso de que una contraseña se vea comprometida. En este sentido, se aconsejan aquellos métodos de verificación alternativos más seguros, como el uso de passkeys.
- Prestar atención a las redes. Organismos como Incibe o el Grupo de Delitos Telemáticos de la Guardia Civil alertan con frecuencia de los fraudes más recientes que afectan a autónomos y negocios, ayudándoles a estar prevenidos.
