Hackers rusos burlan la autenticación en dos pasos de Gmail en ataques selectivos

Un grupo de hackers patrocinados por el estado ruso ha logrado evadir las protecciones de autenticación en dos pasos (2FA) de Google en ataques dirigidos contra críticos políticos e investigadores. Esta operación, atribuida a grupos de amenazas persistentes avanzadas (APT) vinculados a servicios de inteligencia rusos, representa una evolución significativa en las técnicas de robo de credenciales que los expertos consideran especialmente preocupante para individuos en situación de riesgo.

Los atacantes combinan exploits técnicos con tácticas refinadas de ingeniería social para sortear lo que durante años se consideró una medida fundamental de seguridad. En lugar de intentar romper directamente la seguridad criptográfica del 2FA, los hackers se concentran en manipular a los objetivos mediante operaciones psicológicas cuidadosamente diseñadas.

Según analistas de ciberseguridad que monitorean estos ataques, el proceso comienza con una extensa fase de reconocimiento para identificar conexiones personales y profesionales de los objetivos. Los atacantes luego crean comunicaciones de phishing altamente personalizadas que aparentan provenir de contactos o instituciones confiables. Estos mensajes frecuentemente hacen referencia a proyectos específicos o relaciones personales para establecer credibilidad.

Cuando las víctimas interactúan con estas comunicaciones, son guiadas gradualmente a través de un proceso de múltiples etapas que finalmente las convence de revelar tanto sus contraseñas como los códigos de 2FA. En algunos casos documentados, los atacantes mantuvieron conversaciones prolongadas con los objetivos durante varios días antes de realizar sus solicitudes de credenciales, aumentando significativamente la efectividad del engaño.

La campaña parece enfocarse particularmente en individuos involucrados en investigación o análisis sobre actividades geopolíticas rusas, incluyendo analistas políticos, periodistas y académicos especializados en asuntos de Europa del Este. Los compromisos exitosos han derivado en acceso no autorizado a comunicaciones sensibles y materiales de investigación.

Los expertos señalan que aunque el 2FA sigue siendo esencial para la seguridad de las cuentas, estos ataques demuestran que no puede considerarse como una medida de protección única para objetivos de alto valor. Las protecciones adicionales recomendadas incluyen:

• Usar llaves de seguridad físicas como método preferido de 2FA
• Implementar protecciones empresariales contra phishing
• Realizar capacitaciones periódicas en seguridad centradas en tácticas avanzadas de ingeniería social
• Establecer protocolos para verificar solicitudes de autenticación inusuales a través de canales secundarios

Google ha sido notificado sobre estas técnicas de evasión y según reportes está trabajando en salvaguardas adicionales. Sin embargo, la efectividad de estos ataques subraya la creciente sofisticación de los grupos de hacking patrocinados por estados al combinar vectores de ataque técnicos y psicológicos.