Ha surgido una nueva y sofisticada campaña de phishing, que aprovecha la infraestructura confiable de los servicios de Google Cloud para eludir los filtros de seguridad y robar credenciales de inicio de sesión de Microsoft 365. Al abusar de herramientas legítimas de automatización de flujos de trabajo, los actores de amenazas están creando ataques convincentes que se integran a la perfección con las comunicaciones auténticas, lo que dificulta cada vez más la detección tanto para los sistemas automatizados como para los usuarios finales

Ha aparecido una nueva campaña de phishing sofisticada que aprovecha la infraestructura de confianza de los servicios de Google Cloud para evitar los filtros de seguridad y robar credenciales de inicio de sesión sensibles de Microsoft 365.

Al abusar de herramientas de automatización de flujo de trabajo legítimas, los actores de amenazas están creando ataques convincentes que se integran a la perfección con las comunicaciones auténticas, lo que dificulta cada vez más la detección tanto para los sistemas automatizados como para los usuarios finales.

Esta campaña se dirige específicamente a organizaciones que dependen de plataformas de colaboración basadas en la nube, explotando la interoperabilidad entre los principales proveedores de servicios para facilitar la recolección de credenciales a gran escala.

El núcleo de este ataque implica la explotación de Google Cloud Application Integration, un servicio diseñado para automatizar los procesos empresariales.

Los atacantes utilizan la función "Enviar correo electrónico" dentro de esta plataforma para generar correos electrónicos de phishing que parecen provenir de una dirección de Google legítima: noreply-application-integration@google[.]com.

Debido a que estos correos electrónicos provienen de un dominio de Google verificado y utilizan un sistema de configuración con un solo clic, evitan fácilmente los filtros de spam estándar y aprovechan la confianza inherente asociada con la infraestructura del gigante tecnológico para engañar a los objetivos.

Investigadores de Malwarebytes identificaron que este método reduce significativamente la barrera de entrada para los ciberdelincuentes, especialmente porque los nuevos clientes de Google Cloud reciben actualmente créditos gratuitos que los atacantes abusan.

El impacto de esta campaña es grave, ya que expone las credenciales corporativas críticas al robo. Una vez que se entrega el correo electrónico inicial, los usuarios desprevenidos se enfrentan a lo que parece ser una notificación rutinaria, como una alerta de correo de voz o una solicitud de permiso de documento, lo que legitima aún más la correspondencia maliciosa.

El Mecanismo de Infección

El ataque emplea un ingenioso mecanismo de infección por etapas para evadir la detección. Cuando una víctima hace clic en el enlace del correo electrónico de phishing, no se le dirige inmediatamente a un sitio malicioso.

En cambio, se le dirige a una URL legítima de Google Cloud Storage, lo que refuerza la ilusión de seguridad.

Desde allí, el usuario es redirigido a otro dominio propiedad de Google, googleusercontent[.]com, que muestra una verificación CAPTCHA o de imagen "No soy un robot".

Este paso intermedio tiene dos propósitos fundamentales: filtra con éxito los rastreadores de seguridad automatizados que podrían marcar el sitio de phishing y prepara psicológicamente a la víctima para que cumpla.

Una vez que supera la verificación, el objetivo finalmente es redirigido a una página de inicio de sesión fraudulenta de Microsoft 365 diseñada para capturar nombres de usuario y contraseñas. Aunque esta página imita visualmente el portal oficial, una inspección cuidadosa de la dirección web revela su naturaleza maliciosa.

Google ha reconocido este abuso y ha declarado que ha bloqueado varias campañas asociadas, aclarando que esta actividad proviene del uso indebido de una herramienta de automatización de flujo de trabajo en lugar de un compromiso de su infraestructura.

Se aconseja a los profesionales de la seguridad que inspeccionen cuidadosamente las URL, ya que la página de destino final se aloja en dominios no oficiales, y que implementen una autenticación multifactor sólida para proteger las cuentas de usuario.