Un grupo de ciberdelincuentes identificado como APT ToddyCat ha puesto en marcha una peligrosa estrategia que compromete la seguridad de las cuentas empresariales de Gmail. Según reveló la firma de ciberseguridad Kaspersky, este nuevo método permite a los atacantes ingresar a los correos electrónicos corporativos sin necesidad de robar la contraseña del usuario.
El descubrimiento enciende las alarmas en empresas de todo el planeta, ya que la técnica explota las sesiones activas del navegador, abriendo la puerta al espionaje y al robo de información confidencial.
Así opera el ataque que evita las contraseñas
La maniobra empleada por ToddyCat recibe el nombre de Shadow Token via Remote Debug (STRD). Su funcionamiento se basa en una acción cotidiana: muchos usuarios dejan su sesión de Gmail abierta en navegadores basados en Chromium, como Google Chrome.
Cuando una persona mantiene la sesión iniciada, el navegador guarda una especie de “llave digital” que permite acceder a la cuenta sin volver a teclear la clave. El grupo atacante aprovecha esta vulnerabilidad mediante un malware llamado Umbrij.
Este software malicioso utiliza funciones de depuración del navegador —herramientas diseñadas para desarrolladores— con el fin de establecer una conexión oculta. De esta manera, los cibercriminales pueden enviar solicitudes a la cuenta de Gmail como si fueran el usuario legítimo, sin necesidad de robar la contraseña ni engañar a la víctima para que la entregue.
Durante este proceso, el malware puede solicitar permisos extensos sobre la cuenta: acceso a correos, archivos almacenados en la nube y contactos de la empresa. La automatización de la aprobación de la ventana de consentimiento se realiza haciendo clic en “Permitir”, obteniendo así el código necesario para acceder a los recursos.
De este modo, los atacantes toman el control de la cuenta y de la información vinculada sin que el usuario note actividad sospechosa, ya que la sesión sigue activa y la autenticación aparenta ser legítima para los sistemas de Google.
¿Qué cuentas y empresas están en peligro?
El blanco principal de este tipo de ataque son las cuentas corporativas de Gmail. Estos buzones suelen albergar información estratégica: conversaciones confidenciales, documentos sensibles, contactos internos y accesos a otros servicios empresariales.
El correo electrónico sigue siendo uno de los canales más empleados para la comunicación interna y externa de las compañías. Por esta razón, una cuenta comprometida puede convertirse en una puerta de entrada para el espionaje, el robo de datos o nuevos ataques que golpeen a toda la organización.
La campaña descubierta por Kaspersky se inscribe en una tendencia donde los ciberdelincuentes priorizan el aprovechamiento de sesiones activas y mecanismos legítimos del navegador, en lugar de las técnicas tradicionales de robo de credenciales.
Esto representa un reto adicional para los equipos de seguridad, pues el impacto de un acceso no autorizado puede ir mucho más allá del simple buzón: implica una posible exposición de datos, contacto con otros sistemas internos y la apertura de nuevas vías para comprometer la infraestructura digital de la empresa.
Medidas para prevenir estos ataques en cuentas empresariales
Frente a la sofisticación de la técnica detectada, los especialistas brindan varias recomendaciones para reducir los riesgos y fortalecer la seguridad de las cuentas corporativas.
Cerrar sesiones inactivas es la primera medida. Es fundamental evitar dejar cuentas abiertas en navegadores, sobre todo en dispositivos compartidos o de uso frecuente dentro de la empresa. Cerrar sesión y revisar periódicamente los accesos activos reduce la posibilidad de que un tercero aproveche una sesión autenticada.
Limitar funciones innecesarias del navegador también resulta clave. Las empresas deben determinar qué usuarios realmente necesitan herramientas de desarrollador o funciones avanzadas en navegadores Chromium. Si no son esenciales para el trabajo diario, deshabilitarlas contribuye a disminuir la superficie de ataque.
Fuente: Infobae