El grupo de hackers vinculado a un estado, conocido como Ghostwriter, ha lanzado una serie de ataques de phishing dirigidos a usuarios de Gmail. Los atacantes utilizan correos electrónicos maliciosos que suplantan alertas de seguridad oficiales de Google con el objetivo de engañar a las víctimas para que entreguen sus credenciales de acceso y códigos de autenticación de dos factores (2FA), logrando así vulnerar una de las capas de seguridad más confiables de las cuentas.

Un grupo vinculado a un estado, conocido como Ghostwriter, ha lanzado una oleada de ataques de phishing dirigidos a usuarios de Gmail, disfrazando correos electrónicos maliciosos como alertas de seguridad oficiales de Google.

La campaña está diseñada para engañar a los destinatarios y lograr que entreguen sus credenciales de inicio de sesión y códigos de autenticación de dos factores, saltándose eficazmente una de las capas de seguridad de cuenta más confiables en las que confías hoy en día.

El grupo, también rastreado como UNC1151, tiene un largo historial de atacar a ciudadanos polacos a través de sus bandejas de entrada. Durante varios años, sus operaciones se centraron en usuarios de servicios de correo polacos como Onet, Wirtualna Polska e Interia.

Sin embargo, desde marzo de 2026, el grupo cambió su enfoque totalmente hacia las cuentas de Gmail, ejecutando campañas con alta intensidad, principalmente en días laborables, y han estado apareciendo nuevos dominios de phishing casi todos los días.

Analistas de CERT Polska (CERT.PL), el equipo nacional de respuesta a incidentes de ciberseguridad que opera dentro de las estructuras del Instituto Nacional de Investigación de Polonia, identificaron y documentaron esta campaña.

Según un informe  CERT.PL señaló que estos ataques se dirigen sistemáticamente a personas en posiciones prominentes, incluidos políticos, investigadores, periodistas, funcionarios públicos y personas conectadas a estos grupos a través de vínculos familiares o sociales.

El alcance del grupo es deliberadamente amplio. Los atacantes no siempre conocen al propietario exacto de la bandeja de entrada objetivo y a veces intentan adivinar la dirección de correo electrónico de una víctima, lo que puede resultar en que los mensajes de phishing lleguen a bandejas de entrada no relacionadas con nombres similares.

CERT.PL también observó campañas dirigidas a profesiones específicas como traductores y peritos judiciales, lo que sugiere un alto grado de segmentación deliberada detrás de cada oleada de ataques.

El grupo de amenazas vinculado a Bielorrusia parece estar impulsado por la recopilación de inteligencia más que por el beneficio económico.

Una vez que se asegura el acceso a la bandeja de entrada del objetivo, los atacantes buscan listas de contactos, documentos confidenciales y cuentas de redes sociales vinculadas, que también pueden ser tomadas.

Este patrón de explotación posterior hace que cada compromiso exitoso sea mucho más dañino que una simple contraseña robada.

Ghostwriter abusan de correos electrónicos con temática de administrador de Gmail

El grupo UNC1151 llega a víctimas potenciales a través de correos electrónicos fraudulentos diseñados para imitar comunicaciones oficiales del administrador de Gmail.

Estos mensajes suelen enviarse desde cuentas de Gmail creadas específicamente para este propósito, aunque ocasionalmente también se utilizan cuentas comprometidas con nombres de pantalla modificados.

Los correos electrónicos están escritos en polaco sin errores obvios y normalmente advierten sobre actividad sospechosa, inicios de sesión no autorizados o violaciones de los términos del servicio, presionando a los destinatarios para que actúen rápidamente bajo la amenaza de suspensión de la cuenta o eliminación permanente.

Una vez que el objetivo hace clic en el enlace dentro del correo, es dirigido a un sitio web falso construido para imitar exactamente el panel de inicio de sesión de Gmail. Esta página captura la dirección de correo electrónico y la contraseña de la víctima.

Un desarrollo clave en esta campaña, en comparación con operaciones anteriores dirigidas a proveedores de correo polacos, es la capacidad de robar también los códigos de autenticación de dos factores.

Si se requiere un segundo factor, la página de phishing presenta un aviso adicional solicitando dicho código, permitiendo a los atacantes interceptar tanto códigos basados en SMS como aquellos generados por aplicaciones como Google Authenticator.

Los atacantes a menudo atacan las mismas cuentas repetidamente y a veces envían múltiples mensajes en dos días para aumentar la presión.

Infraestructura detrás de la campaña

El grupo rota dinámicamente la infraestructura que utiliza para alojar las páginas de phishing. Las operaciones han involucrado dominios dedicados registrados bajo TLD como .icu, .digital y .top, así como subdominios alojados en plataformas como Netlify.

Los nombres de dominio están cuidadosamente diseñados para alinearse con el contenido del mensaje y la dirección del remitente utilizada para la entrega.

Ghostwriter también coloca paneles de inicio de sesión falsos en sitios web comprometidos pertenecientes a organizaciones polacas, haciéndolo sin alterar la página principal para mantener la intrusión oculta tanto para los propietarios del sitio como para los visitantes habituales.

CERT.PL aconseja encarecidamente a los usuarios que traten cualquier correo electrónico que amenace con la eliminación o suspensión de la cuenta como sospechoso hasta que sea verificado. Nunca debes hacer clic en los enlaces de tales mensajes y, en su lugar, debes ir directamente al servicio escribiendo su dirección en el navegador.

El informe también deja claro que el nombre de pantalla de un remitente por sí solo no es digno de confianza, y que cualquier correo electrónico que haga referencia a problemas de seguridad de la cuenta merece un escrutinio cuidadoso antes de tomar cualquier acción.

Indicadores de Compromiso (IoCs):-

Los siguientes dominios e infraestructura fueron observados en uso activo durante la campaña de phishing de Gmail de Ghostwriter, según lo documentado por CERT.PL.

Nota: Las direcciones IP y los dominios han sido "desactivados" intencionalmente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas controladas de inteligencia de amenazas como MISP, VirusTotal o tu SIEM.