En medio de nuevas campañas dirigidas contra usuarios de Gmail, expertos en ciberseguridad advierten que incluso la herramienta oficial de revisión de seguridad de Google está siendo utilizada como señuelo en ataques sofisticados. La recomendación ahora es clara: revisar tu cuenta sí, pero solo desde los canales oficiales.
Un análisis publicado por Malwarebytes reveló la existencia de una página falsa que imita la herramienta “Security Checkup” de Google. El sitio fraudulento guía a las víctimas a través de un proceso de cuatro pasos que aparentemente mejora la seguridad, pero en realidad otorga a los atacantes acceso a notificaciones push, contactos, ubicación GPS en tiempo real e incluso datos del portapapeles.
Según el investigador Stefan Dasic, la campaña no explota vulnerabilidades técnicas del navegador, sino que se basa en ingeniería social. El ataque comienza con un mensaje que invita a instalar una supuesta herramienta de seguridad. Esta se fija como aplicación web progresiva en la pantalla de inicio, simulando ser una app oficial sin mostrar la barra del navegador, lo que la hace parecer legítima.
En los casos más graves, la página maliciosa puede distribuir un paquete adicional para Android que incluye funciones de espionaje como captura de teclas, lectura de pantalla mediante accesibilidad y acceso a registros de llamadas y micrófono.
Cómo usar la herramienta real sin caer en la trampa
A pesar de la amenaza, los expertos insisten en que la herramienta oficial de Google sigue siendo una de las mejores defensas contra accesos no autorizados. La clave es acceder únicamente desde la página oficial de Google o desde la configuración de tu cuenta ya iniciada sesión, nunca a través de enlaces enviados por correo o ventanas emergentes.
Dentro de tu cuenta de Google, debes ir a la sección de Seguridad y seleccionar Revisión de seguridad (Security Checkup). Allí podrás ver recomendaciones sobre:
- Dispositivos con acceso a tu cuenta
- Actividad reciente de inicio de sesión
- Aplicaciones de terceros conectadas
- Configuración de recuperación
- Activación de autenticación en dos pasos
Dos medidas extra que deberías activar hoy mismo
Además del chequeo de seguridad, Google recomienda adoptar medidas adicionales:
1. Usar passkeys en lugar de contraseñas.
Las passkeys permiten iniciar sesión mediante huella digital o reconocimiento facial y son mucho más resistentes al phishing.
2. Activar el Programa de Protección Avanzada.
Esta opción está pensada para usuarios en mayor riesgo y restringe el acceso de aplicaciones externas, endurece la recuperación de cuenta y bloquea descargas potencialmente peligrosas.
El riesgo es real
Con más de 2.000 millones de usuarios activos, Gmail sigue siendo uno de los principales objetivos de los ciberdelincuentes. Los ataques evolucionan constantemente, y aunque Google emplea inteligencia artificial y equipos dedicados para mitigar amenazas, la seguridad final depende en gran medida del propio usuario.
La recomendación es simple: entra directamente a tu cuenta de Google y ejecuta hoy mismo la revisión de seguridad oficial. Pero asegúrate de estar en el sitio auténtico.
En materia de ciberseguridad, la prevención siempre es más sencilla que la recuperación.