Esto es importante porque una cuenta puede contener más que el correo electrónico. Dependiendo de tu configuración y de los servicios conectados, el acceso puede exponer documentos, contactos, información guardada o datos comerciales.

Un inicio de sesión exitoso también puede ayudar a un criminal a enviar mensajes creíbles desde tu cuenta. Google recomienda revisar los eventos de seguridad y dispositivos recientes si sospechas que ha habido un acceso no autorizado.

La página de instalación expuesta plantea una preocupación aparte

La página /install reportada añade un segundo problema al riesgo de robo de credenciales. Según la publicación, visitar esa ruta expone la configuración de la base de datos y una contraseña de base de datos prellenada.

Tal información puede ayudar a un visitante no autorizado a entender cómo está configurado el backend de un sitio. El informe no dice si los detalles expuestos fueron utilizados para acceder a la base de datos, y el valor de la contraseña no está incluido en la fuente.

Una página de configuración mal configurada no debería estar disponible públicamente con información sensible rellenada. Los operadores del sitio deben restringir el acceso a las rutas de instalación y configuración, eliminar secretos predeterminados o prellenados, y revisar si las credenciales mostradas en la página siguen siendo válidas.

Si lo son, deben cambiarse y revisarse todos los sistemas que las utilicen. Estos son pasos defensivos prácticos basados en la exposición descrita; el informe disponible no confirma qué respuesta han tomado los propietarios del sitio.

El informe también enumera las rutas web asociadas con la campaña: /meet, /assets/js/demo.js, /api/demo/sessions, /api/demo/sessions/{token} y /api/demo/sessions/{token}/resend.

Estas rutas pueden ayudar a los defensores a buscar en los registros web relevantes, pero una ruta por sí sola no prueba que un sistema o usuario haya sido comprometido. La fuente no proporciona un archivo de muestra, nombre de malware, dirección IP o hash criptográfico.

Los servicios similares siguen siendo un tema común en el phishing. Anteriormente se ha informado sobre flujos de inicio de sesión de phishing de Gmail que buscaban detalles de la cuenta y sobre páginas falsas de Google Forms utilizadas para recopilar credenciales.

Una campaña distinta utilizó una página falsa de Meet para lanzar un comando malicioso en lugar de simplemente solicitar una contraseña. Esos informes describen campañas diferentes; no deben tratarse como evidencia de que los mismos operadores estén detrás de esta.

Debes abrir Google Meet escribiendo su dirección conocida o utilizando una invitación de calendario confiable, en lugar de iniciar sesión a través de una página inesperada.

Revisa el dominio completo cuidadosamente: un candado o una conexión HTTPS solo significa que la conexión está cifrada, no que el sitio pertenezca a Google. No introduzcas una contraseña o código 2FA después de seguir un enlace desconocido.

Cualquiera que haya podido introducir sus credenciales debe cambiar la contraseña de Google a través de la página oficial de cuentas de Google, revisar los eventos de seguridad recientes y eliminar dispositivos o sesiones desconocidos.

Si reutilizaste la contraseña en otros lugares, cámbiala también en esos servicios. La guía de Google explica cómo asegurar una cuenta comprometida y revisar la actividad de la misma. Las organizaciones también deben revisar los registros de inicio de sesión en busca de accesos sospechosos y alertar al personal sobre los dominios y rutas reportados.