Un grupo está utilizando Google Sheets como canal de control para llevar a cabo una campaña de robo de criptomonedas. En lugar de instalar un programa convencional, los atacantes ejecutan código malicioso directamente en la sesión del navegador de la víctima, atrayéndolas mediante un informe falso que promete revelar fallos rentables en servicios de intercambio de criptomonedas.

• Están utilizando Google Sheets como un canal de control inesperado en una campaña de robo de criptomonedas. La operación convierte una sesión de navegador familiar en un lugar donde se ejecuta código malicioso, en lugar de instalar un programa convencional en el ordenador de la víctima.

Los atacantes promocionan un informe falso que afirma exponer fallos rentables en servicios de intercambio de criptomonedas. A las víctimas se les pide que peguen JavaScript en la barra de direcciones de Chrome o que lo añadan a una extensión del navegador, permitiendo que el código se ejecute en el sitio de trading que están visitando.

La campaña comenzó con señuelos al estilo ClickFix en octubre de 2025 y adoptó la API de Visualización de Google en marzo de 2026.

Los investigadores encontraron mensajes en Telegram, DarkForums, correo electrónico y sitios de "paste", dirigidos a personas interesadas en el trading, la programación, el hacking y las ganancias financieras rápidas. El resultado es un intercambio de la dirección de la billetera en el momento en que el usuario espera realizar un depósito.

Cisco Talos señaló en un informe compartido con Cyber Security News (CSN) que identificaron 49 direcciones de Bitcoin utilizadas por la operación; 24 recibieron un total combinado de 0,159 BTC, valorados en unos 10.000 dólares a principios de agosto de 2026, aunque el total real podría ser mayor.

Los hackers abusan de Google Sheets

Esta campaña cambia la fórmula familiar de ClickFix. En lugar de pedirle al usuario que abra "Ejecutar" o una terminal, el señuelo le pide que altere su navegador. Por lo tanto, las solicitudes para la siguiente etapa del ataque pueden parecer tráfico normal hacia un servicio confiable de Google.

El primer señuelo describía un fallo de API fabricado que supuestamente entregaba pagos alrededor de un 38% más altos en SwapZone. Una versión posterior afirmaba que una función de lealtad de SimpleSwap podía proporcionar un bono del 25%, e instruía a los usuarios a instalar Tampermonkey y pegar un script cargador.

Esa evolución refleja cómo las recientes campañas de entrega de ClickFix dependen de que una persona complete la acción peligrosa.

Aquí, el cargador recupera JavaScript oculto y cifrado de celdas en una hoja de Google Sheets publicada públicamente utilizando la API de Visualización, une el código e injéctalo en la página activa.

El código malicioso se comporta como un "web skimmer". Vigila la página de transacciones, cambia las direcciones de depósito mostradas, intercepta las respuestas web que contienen datos de la billetera y reemplaza las direcciones copiadas en el portapapeles por una alternativa controlada por el atacante.

También añade información de bonos falsa para hacer que una transacción parezca más atractiva. La versión basada en extensiones otorga a los atacantes una ventaja adicional: la persistencia. Cada vez que el objetivo regresa al sitio de trading seleccionado, el cargador puede reconstruir e insertar la carga útil nuevamente.

Los operadores también cambiaron su configuración de hojas y alojamiento tras los esfuerzos de eliminación, haciendo que la interrupción simple fuera efímera. El peligro se extiende más allá del trading de criptomonedas.

Una extensión comprometida, una dependencia web o una aplicación orientada al cliente podrían utilizar trucos similares en el navegador para modificar formularios o información silenciosamente.

El abuso de servicios en línea reconocidos se asemeja al abuso de espejos confiables de ClickFix, donde un host creíble puede hacer que una página dañina parezca menos sospechosa.

Defendiéndose contra los señuelos basados en el navegador

Debes tratar cualquier afirmación en línea sobre un bono de trading secreto, exploit o acceso especial a una API como una señal de advertencia. Ningún sitio web debería requerir que los visitantes peguen código en la barra de direcciones, la consola de desarrollador, la terminal o una extensión del navegador para desbloquear una función legítima.

Este caso también refuerza las lecciones de los ataques de páginas de verificación falsas, en los que un aviso convincente traslada la ejecución a la víctima. Antes de enviar fondos, debes comparar la dirección que se muestra en pantalla con la dirección copiada en el portapapeles y verificarla a través de un canal confiable.

Las organizaciones deben controlar las extensiones del navegador según el rol y limitar las funciones del navegador a nivel de desarrollador donde no sean requeridas.

Los equipos de seguridad deben investigar solicitudes inusuales a Google Docs desde sesiones de navegador sin actividad normal de documentos, especialmente después de que un empleado visite foros o enlaces no confiables.

Los propietarios de aplicaciones web deben probar el código de terceros y eliminar el JavaScript inexplicablemente y fuertemente ofuscado. Los métodos de la campaña se solapan con las técnicas de ClickFix basadas en el navegador, pero el uso de hojas de cálculo públicas muestra por qué la confianza en la red por sí sola no es suficiente para juzgar si una solicitud web es segura.

La capacitación debe centrarse en el comportamiento, no solo en los dominios bloqueados. Empleados y clientes necesitan una guía clara de que copiar código de un documento, mensaje o página de "investigación" de trading puede dar a un atacante el control de la sesión del navegador, incluso cuando el destino parezca ser un servicio muy conocido.