{"id":25708,"date":"2021-07-29T16:18:40","date_gmt":"2021-07-29T14:18:40","guid":{"rendered":"https:\/\/www.kaspersky.es\/blog\/?p=25708"},"modified":"2021-07-29T16:18:40","modified_gmt":"2021-07-29T14:18:40","slug":"google-script-phishing","status":"publish","type":"post","link":"https:\/\/www.kaspersky.es\/blog\/google-script-phishing\/25708\/","title":{"rendered":"El phishing con Google Apps Script"},"content":{"rendered":"<p>Para robar las credenciales de correo electr\u00f3nico corporativas, los atacantes primero tienen que esquivar las soluciones contra el <em>phishing<\/em> en los servidores de correo electr\u00f3nico de la empresa. Como regla general, utilizan servicios web leg\u00edtimos para evitar ser percibidos; de hecho, Google Apps Script, una plataforma de <em>script<\/em> basada en JavaScript, se utiliza cada vez m\u00e1s para este fin.<\/p>\n<h2>\u00bfQu\u00e9 es Apps Script y c\u00f3mo lo utilizan los atacantes?<\/h2>\n<p>Apps Script es una plataforma basada en JavaScript cuya funci\u00f3n es automatizar las tareas en los productos de Google (por ejemplo, crear complementos para Documentos de Google), as\u00ed como en aplicaciones de terceros. En resumen, se trata de un servicio para crear <em>scripts<\/em> y ejecutarlos en la infraestructura de Google.<\/p>\n<p>En el <em>phishing<\/em> por correo electr\u00f3nico, los atacantes utilizan este servicio para redirigir a los usuarios. En lugar de insertar la URL de un sitio web malicioso directamente en un mensaje, los ciberdelincuentes pueden plantar un enlace en un <em>script<\/em>. De esta forma, pueden esquivar las soluciones contra el <em>phishing<\/em> a nivel del servidor de correo: un hiperv\u00ednculo que dirige a un sitio leg\u00edtimo de Google con buena reputaci\u00f3n es ignorado por la mayor\u00eda de los filtros. Como beneficio adicional para los ciberdelincuentes, los sitios de <em>phishing<\/em> que no sean detectados pueden permanecer activos por m\u00e1s tiempo. Esta estrategia tambi\u00e9n concede a los atacantes la flexibilidad de cambiar el <em>script<\/em> si fuera necesario (en caso de que las soluciones de seguridad se actualicen) y de experimentar con la entrega del contenido (por ejemplo, enviar a las v\u00edctimas versiones distintas del sitio dependiendo de su regi\u00f3n).<\/p>\n<h2>Ejemplo de estafa con Google Apps Script<\/h2>\n<p>Lo \u00fanico que los atacantes necesitan es lograr que el usuario haga clic en un enlace. Hace poco, el pretexto m\u00e1s com\u00fan era el de \u201ctu bandeja de entrada est\u00e1 llena\u201d. En teor\u00eda, suena muy posible.<\/p>\n<div id=\"attachment_25711\" style=\"width: 1851px\" class=\"wp-caption aligncenter\"><img loading=\"lazy\" decoding=\"async\" aria-describedby=\"caption-attachment-25711\" class=\"wp-image-25711 size-full\" src=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/88\/2021\/07\/29101447\/google-scripts-phishing-letter-1.jpg\" alt=\"\" width=\"1841\" height=\"578\"><p id=\"caption-attachment-25711\" class=\"wp-caption-text\">Un correo electr\u00f3nico t\u00edpico de phishing que utiliza la estafa de la bandeja de correo llena<\/p><\/div>\n<p>Pero, en la pr\u00e1ctica, los atacantes por lo general son m\u00e1s descuidados y dejan se\u00f1ales de fraude que deber\u00edan resultar obvias incluso para los usuarios que no est\u00e1n familiarizados con las notificaciones reales:<\/p>\n<ul>\n<li>El correo electr\u00f3nico parece provenir de Microsoft Outlook, pero el remitente de la direcci\u00f3n de correo electr\u00f3nico tiene un dominio extra\u00f1o. Una notificaci\u00f3n real sobre una bandeja de entrada llena deber\u00eda provenir del servidor interno de Exchange. (Adem\u00e1s, al nombre del remitente, Microsoft Outlook, le falta un espacio y utiliza un cero en lugar de la letra \u201co\u201d).<\/li>\n<li>El enlace, que aparece al pasar el cursor sobre \u201cArreglarlo en los ajustes de almacenamiento\u201d, dirige a un sitio de Google Apps Script:<\/li>\n<\/ul>\n<div id=\"attachment_25712\" style=\"width: 464px\" class=\"wp-caption aligncenter\"><img loading=\"lazy\" decoding=\"async\" aria-describedby=\"caption-attachment-25712\" class=\"wp-image-25712 size-full\" src=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/88\/2021\/07\/29101518\/google-scripts-phishing-address.jpg\" alt=\"\" width=\"454\" height=\"119\"><p id=\"caption-attachment-25712\" class=\"wp-caption-text\">El enlace del correo electr\u00f3nico dirige a Google Apps Script<\/p><\/div>\n<ul>\n<li>Las bandejas de entrada no exceden su l\u00edmite de repente. Outlook comienza a advertir a los usuarios de los problemas de capacidad mucho antes. Por tanto, exceder ese l\u00edmite en 850 MB sin haber recibido una alerta previa, probablemente significar\u00eda recibir esta cantidad de <em>spam<\/em> al mismo tiempo, lo cual es muy poco probable.<\/li>\n<\/ul>\n<p>En cualquier caso, aqu\u00ed te dejamos un ejemplo de una notificaci\u00f3n leg\u00edtima de Outlook:<\/p>\n<div id=\"attachment_25713\" style=\"width: 335px\" class=\"wp-caption aligncenter\"><img loading=\"lazy\" decoding=\"async\" aria-describedby=\"caption-attachment-25713\" class=\"wp-image-25713 size-full\" src=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/88\/2021\/07\/29101614\/google-scripts-phishing-notification.jpg\" alt=\"\" width=\"325\" height=\"188\"><p id=\"caption-attachment-25713\" class=\"wp-caption-text\">Notificaci\u00f3n leg\u00edtima sobre una bandeja de entrada casi llena<\/p><\/div>\n<ul>\n<li>El enlace \u201cArreglarlo en los ajustes de almacenamiento\u201d redirige a un sitio de <em>phishing<\/em>. Aunque parezca una copia bastante convincente de la p\u00e1gina de inicio de sesi\u00f3n de la interfaz web de Outlook, un simple vistazo a la barra de direcciones del navegador revela que la p\u00e1gina est\u00e1 alojada en un sitio web falso, y no en la infraestructura de la empresa.<\/li>\n<\/ul>\n<h2>C\u00f3mo evitar morder el anzuelo<\/h2>\n<p>La experiencia muestra que los correos electr\u00f3nicos de <em>phishing<\/em> no necesariamente tienen que incluir enlaces de <em>phishing<\/em>. Por lo tanto, una protecci\u00f3n corporativa de confianza debe incluir funciones contra este tipo de estafa tanto <a href=\"https:\/\/www.kaspersky.es\/small-to-medium-business-security\/mail-server?icid=es_kdailyplacehold_acq_ona_smm__onl_b2b_kasperskydaily_wpplaceholder_______\" target=\"_blank\" rel=\"noopener\">a nivel del servidor de correo<\/a> como en <a href=\"https:\/\/www.kaspersky.es\/small-to-medium-business-security?icid=es_kdailyplacehold_acq_ona_smm__onl_b2b_kasperskydaily_wpplaceholder_______\" target=\"_blank\" rel=\"noopener\">los ordenadores de los usuarios<\/a>.<\/p>\n<p>Asimismo, una protecci\u00f3n responsable debe incluir <a href=\"https:\/\/k-asap.com\/es\/?icid=es_kdailyplacehold_acq_ona_smm__onl_b2b_kasperskydaily_wpplaceholder____kasap___\" target=\"_blank\" rel=\"noopener\">formaciones continuas sobre sensibilizaci\u00f3n en materia de ciberseguridad para los empleados<\/a> que cubran las ciberamenazas y estrategias de <em>phishing<\/em> actuales.<\/p>\n<input type=\"hidden\" class=\"category_for_banner\" value=\"kesb\">\n","protected":false},"excerpt":{"rendered":"<p>Los estafadores redirigen a los usuarios mediante Google Apps Script para evitar que los servidores de correo electr\u00f3nico bloqueen los enlaces de phishing.<\/p>\n","protected":false},"author":2598,"featured_media":25710,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[2202,2754,2755],"tags":[538,16,1467,43,3325],"class_list":{"0":"post-25708","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-business","8":"category-enterprise","9":"category-smb","10":"tag-correo-electronico","11":"tag-google","12":"tag-outlook","13":"tag-phishing","14":"tag-scripts"},"hreflang":[{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/google-script-phishing\/25708\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/google-script-phishing\/23086\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/google-script-phishing\/18568\/"},{"hreflang":"ar","url":"https:\/\/me.kaspersky.com\/blog\/google-script-phishing\/9286\/"},{"hreflang":"en-us","url":"https:\/\/usa.kaspersky.com\/blog\/google-script-phishing\/25070\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/google-script-phishing\/23081\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/google-script-phishing\/22421\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/google-script-phishing\/25188\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/google-script-phishing\/31108\/"},{"hreflang":"tr","url":"https:\/\/www.kaspersky.com.tr\/blog\/google-script-phishing\/9864\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/google-script-phishing\/40795\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/google-script-phishing\/17376\/"},{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/google-script-phishing\/17836\/"},{"hreflang":"pl","url":"https:\/\/plblog.kaspersky.com\/google-script-phishing\/15083\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/google-script-phishing\/27110\/"},{"hreflang":"ja","url":"https:\/\/blog.kaspersky.co.jp\/google-script-phishing\/31288\/"},{"hreflang":"nl","url":"https:\/\/www.kaspersky.nl\/blog\/google-script-phishing\/27325\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/google-script-phishing\/24129\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/google-script-phishing\/29463\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/google-script-phishing\/29255\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.es\/blog\/tag\/phishing\/","name":"phishing"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/posts\/25708","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/users\/2598"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/comments?post=25708"}],"version-history":[{"count":3,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/posts\/25708\/revisions"}],"predecessor-version":[{"id":25715,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/posts\/25708\/revisions\/25715"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/media\/25710"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/media?parent=25708"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/categories?post=25708"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/tags?post=25708"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}