Una vulnerabilidad crítica en el sistema de autenticación de Google ha sido descubierta y expuesta por la compañía de ciberseguridad CloudSEK. Esta brecha permite a los atacantes acceder a las cuentas de usuarios sin necesidad de conocer su contraseña, lo que representa un riesgo significativo para la seguridad de los datos almacenados en estas plataformas.
El mecanismo de vulnerabilidad
La vulnerabilidad se centra en el manejo de las cookies de autenticación utilizadas por Google. Estas cookies permiten a los usuarios acceder a sus cuentas sin tener que introducir la contraseña cada vez, lo cual facilita su uso para ataques no autorizados.
A finales de noviembre de 2023, se informó sobre el uso de malware como Lumma y Rhadamanthys, los cuales podían restaurar cookies de autenticación caducadas robadas en ataques previos. Esta capacidad permite a los atacantes mantener un acceso persistente a las cuentas incluso después de que los usuarios cambien sus contraseñas.
El descubrimiento y la exposición
La vulnerabilidad fue inicialmente revelada en octubre de 2023 por un desarrollador anónimo que se identifica como PRISMA, quien compartió el método a través del servicio de mensajería Telegram. Posteriormente, varios grupos de atacantes probaron y adoptaron este método para integrarlo en sus herramientas de robo de información.
CloudSEK descubrió que la vulnerabilidad se basa en un punto final no documentado del sistema OAuth de Google denominado «MultiLogin». Este endpoint está destinado a sincronizar cuentas entre diferentes servicios de Google, aceptando un vector de ID de cuenta y tokens de inicio de sesión.
La respuesta de Google
A pesar de que la vulnerabilidad fue expuesta hace tres meses, CloudSEK afirma que Google aún no ha implementado una solución integral para resolverla. Esto deja a los usuarios expuestos a ataques continuos durante un período prolongado.
Recomendaciones para usuarios
CloudSEK recomienda a los usuarios cerrar sesión en todas sus cuentas de Google, restablecer la contraseña y volver a iniciar sesión como medida adicional de seguridad. Sin embargo, se destaca que esta acción no garantiza una protección completa, ya que los atacantes pueden generar cookies válidas si hay interrupciones en la sesión.
La cookie de autenticación solo puede regenerarse una vez si el usuario cambia su contraseña. De lo contrario, se puede regenerar varias veces, permitiendo un acceso persistente a la cuenta. Para protegerse del ataque, es necesario cerrar la sesión, cambiar la contraseña y volver a iniciar sesión.
El experto en ciberseguridad Karthick destacó que esta situación subraya la necesidad de una vigilancia continua tanto de las vulnerabilidades técnicas como de las fuentes de inteligencia humana para anticiparse a las amenazas emergentes.