Una nueva campaña de phishing llamada GTFire está abusando de dos de los servicios más confiables de Google — Firebase y Google Translate — para robar credenciales de inicio de sesión de víctimas en todo el mundo.

Lo que hace peligrosa esta campaña es su capacidad para ocultar actividad maliciosa detrás de dominios legítimos propiedad de Google, permitiendo que los enlaces de phishing pasen a través de filtros de correo electrónico y puertas de seguridad web sin activar alertas.

Las víctimas llegan a páginas de inicio de sesión que imitan marcas convincentemente, envían sus credenciales y luego son redirigidas silenciosamente al sitio web legítimo de la marca objetivo, sin darse cuenta de que sus datos ya fueron robados.

La escala de GTFire es impactante. La exposición de servidores de comando y control (C2) controlados por los atacantes reveló miles de credenciales robadas vinculadas a más de 1,000 organizaciones en más de 100 países y en más de 200 industrias.

México encabeza la lista de víctimas con 385 casos confirmados — principalmente en manufactura, educación y gobierno —, seguido de Estados Unidos (101), España (67), India (54) y Argentina (50).

Analistas de Group-IB identificaron la campaña como una operación de recolección de credenciales bien organizada y a gran escala.

Los investigadores señalaron que los atacantes reutilizan plantillas de phishing en múltiples objetivos con cambios mínimos, aplicando un flujo de recolección de credenciales de varios pasos mientras gestionan servidores centralizados que almacenan los datos robados organizados por fecha, idioma y servicio objetivo.

Se identificaron más de 120 dominios únicos de phishing, todos siguiendo patrones de nomenclatura de alto volumen diseñados para permitir una rotación rápida de la infraestructura.

El alcance de GTFire claramente va más allá de una sola región. Los actores de amenazas adaptan cuidadosamente cada página de phishing para mostrar la identidad visual de una marca objetivo, haciendo que los portales de inicio de sesión falsos sean indistinguibles de los reales.

Después de que una víctima envía sus credenciales, la redirección fluida al sitio web legítimo de la marca retrasa cualquier conciencia de que ha ocurrido un ataque, dando a los atacantes más tiempo antes de ser detectados.

GTFire revela una realidad preocupante para los defensores: la infraestructura confiable puede ser armada con muy poco esfuerzo.

Las comprobaciones tradicionales de reputación de URL y las listas negras estáticas tienen dificultades para detectar enlaces de phishing alojados en dominios propiedad de Google. El abuso de marcas sigue siendo uno de los vectores de ingeniería social más potentes, y GTFire muestra lo eficientemente que puede desplegarse a nivel global.

Cómo GTFire encadena servicios de Google para robar credenciales

El ataque comienza cuando una víctima recibe un mensaje de phishing que contiene un enlace de Google Translate (translate.goog).

Esta URL actúa como un relé invisible, redirigiendo la solicitud a través de la infraestructura proxy de traducción de Google antes de llevar a la víctima a una página de phishing alojada en Firebase.

Dado que el enlace pertenece a un dominio propiedad de Google, las puertas de seguridad de correo electrónico y los filtros web rara vez lo interceptan.

Firebase aloja las páginas de phishing finales, con los atacantes registrando un gran número de subdominios *.web.app con nombres aleatorios y rotándolos frecuentemente para superar las listas negras.

Cada página carga dinámicamente logotipos y campos de inicio de sesión específicos de la marca utilizando un marco de phishing reutilizable con solo cambios cosméticos menores por objetivo.

Cuando una víctima envía su nombre de usuario y contraseña, la página muestra un falso error de "contraseña incorrecta" y le pide que lo intente de nuevo. Ambas entradas son capturadas silenciosamente en segundo plano.

Las credenciales robadas se envían a servidores C2 controlados por los atacantes mediante solicitudes HTTP GET, con las contraseñas codificadas en Base64 junto con metadatos que incluyen el país de la víctima y el idioma del navegador.

El backend C2 funciona con instancias de LiteSpeed Web Server que utilizan scripts de recolección All-in-1.php basados en PHP — herramientas disponibles comercialmente que reducen la sobrecarga operativa y aceleran la implementación.

Las organizaciones deberían implementar autenticación multifactor resistente al phishing y capacitar a los empleados para reconocer técnicas de phishing basadas en Google.

Los equipos de seguridad deberían crear reglas de detección que marquen patrones de URL que combinen translate.goog con dominios *.web.app y monitorear plataformas en la nube confiables en busca de suplantación de marcas.

Compartir indicadores de compromiso — incluyendo IOCs de red como jnhwzs.fyi y gnpnia.lat, y scripts de recolección basados en archivos All-in-1.php — con las comunidades CERT sigue siendo crítico para contener esta campaña.