Un amigo recibió un correo electrónico que parecía legítimo, pero generó preocupación al sugerir que las autoridades habían solicitado el acceso a su cuenta de Google. Al no estar seguro de si era real o una estafa, contactó para verificar su autenticidad.
El mensaje sospechoso
El correo afirmaba que se había emitido una citación para extraer contenido de la cuenta de Google. Aunque el remitente parecía ser una dirección legítima de Google, algo llamó la atención y generó dudas.
Investigación del mensaje
Se analizaron los encabezados del correo electrónico y se revisaron las pruebas de autenticación SPF, DKIM y DMARC. Aunque todo parecía cuadrar a primera vista, se encontraron señales de alerta.
Importancia de no interactuar con correos sospechosos
No debe interactuarse con correos electrónicos sospechosos. Hacer clic en enlaces o seguir instrucciones puede activar scripts maliciosos o redirigir a sitios de phishing que roben credenciales. Si hay dudas, se recomienda dejar la investigación en manos de profesionales.
El mensaje no es una página oficial de Google
La URL del correo llevaba a una página de Google Sites, una herramienta gratuita que cualquiera puede usar para crear un sitio web. Los ciberdelincuentes la usaron para imitar una página de soporte oficial, con imágenes y lenguaje convincentes.
Abuso de Google Sites
Google Sites, lanzado en 2008, permite a cualquier usuario autenticado crear un sitio web alojado en el dominio sites.google.com. Aunque es una herramienta práctica para diversos fines, los atacantes la usan para crear páginas engañosas que imitan servicios oficiales.
Por qué es peligroso
- Cualquier persona con una cuenta de Google puede crear un sitio web que parezca legítimo y esté alojado en un dominio de confianza propiedad de Google.
- No se necesita alojamiento personalizado ni registro de dominio, y los atacantes se benefician de los certificados SSL de Google y de la reputación de la marca.
- Los atacantes pueden incrustar contenido engañoso en un dominio que normalmente pasaría la confianza de un usuario casual e incluso las comprobaciones automatizadas de validación de enlaces.
Cómo el atacante realizó una repetición de DKIM para suplantar a Google
Este ataque fue un DKIM Reply Attack, en el que un mensaje falsificado aparentemente provenía de no-reply@accounts.google.com, había superado las certificaciones DKIM y DMARC, y se envió a una bandeja de entrada de Gmail.
Paso 1: El atacante recibe un correo electrónico legítimo de Google
El atacante recibió primero un correo electrónico real de Google, procedente de no-reply@accounts.google.com. Incluía una firma DKIM válida.
Paso 2: El atacante se prepara para reproducir el mensaje firmado
DKIM funciona aplicando una firma digital a encabezados específicos y al cuerpo del correo electrónico al enviarse por primera vez. Esta firma se genera utilizando la clave privada del remitente.
Paso 3: El atacante envía el correo electrónico desde Outlook
El atacante utilizó una cuenta de Outlook (x186997@outlook) para enviar el mensaje falsificado. Salto de salida: LO3P265CU004.outbound.protection.outlook.com.
Paso 4: El mensaje se retransmite a través de Jellyfish SMTP
Microsoft luego transfiere el mensaje a un servicio SMTP personalizado: asp-relay-pe.jellyfish.systems. Este sistema actúa como un relé intermedio.
Paso 5: Reenvío del mensaje mediante PrivateEmail de Namecheap
El mensaje es recibido por la infraestructura de correo de Namecheap (PrivateEmail), que proporciona el reenvío de correo. Se añade una nueva firma DKIM.
Paso 6: Entrega final a GMail
La entrega final la gestionan: fwd-04-1.fwd.privateemail.com (66.29.159.58). En este punto, el correo electrónico llega a la bandeja de entrada de la víctima con la apariencia de un mensaje válido de Google.