Jameson Lopp, cofundador de Casa, ha advertido sobre una campaña de phishing que entrega correos falsos a través de los propios sistemas de Google, abusando de la infraestructura de la empresa para hacer que los mensajes parezcan genuinos.

Los poseedores de criptomonedas enfrentan el mayor riesgo de este esquema, que se basa en páginas de inicio de sesión falsas diseñadas para robar contraseñas y otros datos sensibles.

Un correo de scam enviado desde el propio Google

En una publicación en X difundida el jueves, Lopp señaló que la campaña es una nueva versión de un viejo estafa que está circulando actualmente. Adjuntó una captura de pantalla del correo fraudulento, mostrando que fue enviado a través de los servidores reales de Google.

New flavor of Google phishing that abuses Google's own infrastructure to send you this email. If you click the link you end up at a phishing login page. pic.twitter.com/dfkvfibo33

— Jameson Lopp (@lopp) October 29, 2026

Según la publicación, cualquier persona que haga clic en el enlace dentro del mensaje es llevada a una página de inicio de sesión de phishing.

No es la primera vez que Lopp advierte sobre el abuso de los sistemas de Google. En mayo, destacó una estafa que hacía un mal uso del formulario de recuperación de cuentas de Google, en la que el atacante ingresó un mensaje muy largo en el formulario, manteniendo un aviso que parecía auténtico en la parte superior y colocando el enlace fraudulento mucho más abajo, después de un gran espacio en blanco. La alerta del incidente actual también llegó a través de los sistemas reales de cuentas de Google. En conjunto, estos episodios muestran que los atacantes enrutan repetidamente sus estafas a través de funciones legítimas de Google en lugar de falsificar la identidad de la empresa, lo que debilita la forma más común en que los destinatarios juzgan si un correo es real.

Check Point documentó una campaña similar

La firma de seguridad Check Point (NASDAQ: CHKP) descubrió una campaña que hizo un mal uso de la función "Send Email" de la herramienta Application Integration de Google Cloud. Durante un período de dos semanas en diciembre de 2025, los atacantes enviaron 9,394 correos a aproximadamente 3,200 organizaciones. Dado que los mensajes provenían de una dirección genuina de Google, noreply-application-integration@google.com, pasaron las verificaciones DMARC y SPF, que normalmente indican a los servidores de correo receptores que un mensaje es auténtico. DMARC y SPF son los protocolos estándar de la industria que los proveedores de correo utilizan para confirmar que un mensaje proviene realmente del dominio mostrado en su dirección de remitente, por lo que pasar ambas verificaciones tiene un peso significativo tanto para los filtros de spam como para los destinatarios.

Los destinatarios que hicieron clic en los enlaces fueron enrutados primero a través de varias direcciones web confiables de Google. Luego se encontraron con una página CAPTCHA falsa diseñada para detener los escáneres de seguridad automatizados, antes de llegar a una página de inicio de sesión falsa de Microsoft (NASDAQ: MSFT) que no estaba alojada por Microsoft.

Google (NASDAQ: GOOGL) informó a los investigadores que había bloqueado las campañas, señalando que el problema surgió del mal uso de una herramienta de automatización y no de una intrusión en sus sistemas. Según reportes, estafas similares se han realizado a través de Google Meet, DoubleClick, Google Analytics y otros servicios. El patrón recurrente significa que un mensaje puede parecer legítimo en todas las señales técnicas y aun así llevar a una página maliciosa, a pesar de que Google sostiene que sus propios sistemas no fueron vulnerados.

Por qué los poseedores de criptomonedas son blanco frecuente

Se considera que los usuarios de exchanges de criptomonedas y los titulares de wallets están especialmente expuestos, ya que las páginas de inicio de sesión falsas pueden usarse para capturar contraseñas, datos de sesión o códigos de autenticación de dos factores. Las consecuencias también son estructuralmente mayores que en las finanzas tradicionales: una transferencia fraudulenta de fondos cripto generalmente es irreversible una vez confirmada en la cadena, dejando poco margen de recuperación después del robo de credenciales.

La advertencia sigue a un incidente separado informado por Cryptopolitan esta semana, en el que estafadores utilizaron claves API filtradas de Cloudflare (NYSE: NET) para enviar correos desde los dominios propios de Foundation. Algunos destinatarios dijeron que los mensajes recibidos contenían datos personales legítimos, incluidos sus nombres, direcciones y compras anteriores en Passport. Foundation posteriormente revocó las claves y afirmó que los fondos en sus dispositivos están seguros.

En un contexto más amplio, Binance declaró que bloqueó 22.9 millones de intentos de estafa y phishing en el primer trimestre de 2026, un aumento del 54% respecto del trimestre anterior, y que protegió alrededor de $1,980 millones en fondos de usuarios, un ritmo que indica que el phishing sigue siendo uno de los vectores de ataque más persistentes de la industria incluso a medida que se cierran campañas individuales.