El panorama de las amenazas digitales está en constante evolución, con ciberdelincuentes adoptando cada vez más estrategias de «vivir de la nube» para eludir los perímetros de seguridad. Al explotar la infraestructura de proveedores de servicios confiables, los atacantes pueden ocultar eficazmente sus actividades maliciosas, lo que dificulta considerablemente su detección tanto para los sistemas de defensa automatizados como para los observadores humanos en el entorno corporativo. 

El panorama de las amenazas digitales está en constante evolución, con ciberdelincuentes adoptando cada vez más estrategias de “vivir de la nube” para eludir los perímetros de seguridad.

Al explotar la infraestructura de proveedores de servicios confiables, los atacantes pueden ocultar eficazmente sus actividades maliciosas, lo que dificulta significativamente su detección tanto para los sistemas de defensa automatizados como para los observadores humanos en el entorno corporativo.

Esta tendencia se ha intensificado recientemente con una campaña sofisticada en la que los actores de amenazas aprovechan cuentas gratuitas de desarrollador de Firebase para facilitar sus ataques.

Firebase, una plataforma ampliamente utilizada para el desarrollo de aplicaciones web y móviles, ofrece un nivel gratuito que permite a los usuarios alojar contenido y desplegar aplicaciones.

Los hackers están sacando partido de esta función para alojar páginas de phishing convincentes que imitan los portales de inicio de sesión de marcas populares, aprovechando la legitimidad de la plataforma.

Los analistas de Unit 42 identificaron esta actividad maliciosa a principios de febrero de 2026, observando un aumento notable en campañas de phishing que utilizan estas cuentas de desarrollador explotadas.

Su investigación destaca que los atacantes están empleando tácticas de alta presión para manipular a las víctimas.

Los señuelos comunes incluyen el envío de alertas urgentes sobre uso fraudulento de cuentas o la oferta de artículos gratuitos de alto valor, diseñados para provocar una respuesta inmediata e irreflexiva por parte del objetivo.

La efectividad de estas campañas se debe en gran medida a la confianza inherente que los usuarios y los sistemas de seguridad depositan en el dominio de alojamiento.

Dado que los enlaces de phishing residen en subdominios válidos de firebaseapp.com o web.app, a menudo eluden las pasarelas de seguridad de correo electrónico que incluyen en la lista blanca la infraestructura afiliada a Google.

Esta alta tasa de entrega, combinada con la autenticidad visual de las páginas alojadas, conduce a un aumento significativo en el robo exitoso de credenciales.

Evasión de detección mediante reputación de dominio

Una característica definitoria de esta operación es su dependencia del “secuestro de reputación” para eludir los protocolos de detección estándar.

Los filtros de seguridad tradicionales analizan principalmente la antigüedad y reputación de un dominio para verificar su legitimidad.

Al alojar contenido de phishing en Firebase, los atacantes heredan la reputación positiva del dominio alojado por Google, neutralizando así los mecanismos de bloqueo basados en dominios que normalmente marcarían sitios desconocidos.

Además, la naturaleza gratuita de estas cuentas permite una proliferación y persistencia rápidas.

Si un proyecto malicioso específico es detectado y suspendido, los atacantes pueden aprovisionar al instante una nueva instancia con un nombre diferente.

Esta naturaleza efímera de la infraestructura crea un entorno desafiante para los defensores, ya que el servicio de alojamiento subyacente sigue siendo confiable y legítimo, mientras que los subdominios maliciosos específicos cambian constantemente, haciendo que las listas de bloqueo estáticas sean ineficaces contra la amenaza.

Las organizaciones deberían mejorar su postura defensiva implementando una inspección estricta de los destinos de URL, incluidos aquellos alojados en dominios de proveedores de nube conocidos.

Se recomienda a los equipos de seguridad que monitoreen patrones de tráfico inusuales hacia subdominios genéricos de la nube y que eduquen a los empleados sobre la verificación de la ruta completa de la URL antes de ingresar credenciales o datos sensibles.