La epidemia de phishing con PWA: Cómo páginas falsas de seguridad de Google roban más que contraseñas

Una nueva ola de campañas de phishing sofisticadas está aprovechando la tecnología de Progressive Web App (PWA) de Android para crear lo que los investigadores de seguridad denominan "la nueva frontera del phishing". Estos ataques van más allá del robo tradicional de credenciales para establecer instalaciones persistentes de malware que abusan de los permisos del dispositivo para un robo extensivo de datos.

La cadena de ataque comienza cuando las víctimas reciben mensajes de phishing—típicamente mediante SMS, correo electrónico o aplicaciones de mensajería—que contienen enlaces a páginas falsas de seguridad de cuentas de Google. Estas páginas están meticulosamente diseñadas para imitar los puntos de control de seguridad legítimos de Google, completas con branding familiar, lenguaje y elementos de interfaz diseñados para generar urgencia en el usuario. Se les pide a las víctimas que verifiquen sus cuentas debido a "actividad sospechosa" o "violaciones de seguridad".

Lo que distingue a esta campaña es la explotación de la solicitud de instalación de PWA. Cuando los usuarios acceden a la página maliciosa a través de Chrome u otros navegadores compatibles en dispositivos Android, se les presenta una solicitud engañosa para "Instalar aplicación de seguridad" o "Añadir a la pantalla de inicio para mejor protección". Esto aprovecha la función legítima de instalación de PWA que servicios legítimos como Twitter, Starbucks y el propio Google utilizan para mejorar la experiencia del usuario.

Una vez instalada, la PWA maliciosa gana una presencia permanente en la pantalla de inicio de la víctima, completa con un icono de aspecto profesional que a menudo imita aplicaciones legítimas de Google o de seguridad. A diferencia de las páginas de phishing tradicionales que desaparecen después de cerrar el navegador, estas PWAs permanecen accesibles sin conexión y mantienen su estado entre sesiones.

La sofisticación técnica se extiende al abuso de permisos. Durante el proceso de "verificación de seguridad", se guía a las víctimas a través de múltiples pantallas que solicitan permisos cada vez más intrusivos. Más allá de robar credenciales de cuentas de Google y códigos de autenticación de dos factores (2FA), estas aplicaciones maliciosas solicitan acceso a contactos, datos de ubicación, cámara, micrófono y almacenamiento del dispositivo. Algunas variantes incluso intentan obtener acceso a notificaciones para interceptar mensajes SMS que contienen códigos de autenticación de otros servicios.

Esto representa un cambio de paradigma en el phishing móvil. Los ataques tradicionales se centraban en robar credenciales durante una única interacción. Estos ataques basados en PWA establecen puntos de apoyo persistentes que continúan exfiltrando datos mucho tiempo después del compromiso inicial. Las aplicaciones maliciosas pueden ejecutar procesos en segundo plano, monitorear la actividad del usuario y potencialmente servir como puntos de lanzamiento para cargas útiles adicionales.

El mecanismo de persistencia es particularmente preocupante desde una perspectiva de seguridad. Debido a que las PWAs operan dentro de un contexto del navegador pero aparecen como aplicaciones independientes, a menudo evaden el escrutinio de las soluciones de seguridad diseñadas para monitorear instalaciones de aplicaciones nativas. Los usuarios acostumbrados a instalar PWAs desde fuentes confiables pueden no reconocer los indicadores sutiles de intención maliciosa.

Los desafíos de detección se ven agravados por la naturaleza legítima de la tecnología subyacente. Las Progressive Web Apps representan avances genuinos en tecnología web, ofreciendo experiencias similares a aplicaciones nativas sin requerir distribución a través de tiendas de aplicaciones. Esta utilidad legítima crea un camuflaje perfecto para actores maliciosos que pueden implementar los mismos estándares técnicos mientras incorporan funcionalidad maliciosa.

Los equipos de seguridad deben actualizar sus modelos de amenazas para tener en cuenta los ataques basados en PWA. Los indicadores técnicos incluyen solicitudes de permisos inusuales de aplicaciones web, instalaciones de PWA que se originan en dominios no corporativos e iconos en la pantalla de inicio que no corresponden a aplicaciones aprobadas. El monitoreo de red debe vigilar la exfiltración de datos a dominios desconocidos desde lo que parece ser tráfico del navegador.

La educación del usuario sigue siendo crítica pero requiere mensajes actualizados. Los consejos tradicionales sobre "instalar solo aplicaciones desde tiendas oficiales" ya no son suficientes, ya que las PWAS eluden deliberadamente los controles de las tiendas de aplicaciones. En su lugar, se debe capacitar a los usuarios para que examinen las solicitudes de instalación desde sitios web, verifiquen las URL antes de conceder permisos y cuestionen por qué una verificación de seguridad requeriría instalar una aplicación separada.

Las organizaciones deben considerar controles técnicos como restringir las capacidades de instalación de PWA en dispositivos gestionados, implementar políticas de seguridad del navegador que limiten las concesiones de permisos y desplegar soluciones de seguridad capaces de analizar el comportamiento de las PWAs. Las soluciones de gestión de dispositivos móviles (MDM) pueden necesitar actualizaciones para categorizar y controlar adecuadamente las instalaciones de PWA junto con las aplicaciones tradicionales.

La aparición del phishing basado en PWA representa más que solo otro vector de ataque—significa la convergencia de amenazas basadas en web y aplicaciones. A medida que las líneas entre navegadores y sistemas operativos continúan difuminándose, los enfoques de seguridad deben evolucionar en consecuencia. Esta campaña demuestra que los atacantes adoptan rápidamente tecnologías legítimas con fines maliciosos, lo que requiere que los profesionales de seguridad se mantengan por delante tanto de la adopción tecnológica como de la innovación de los atacantes.

De cara al futuro, la comunidad de seguridad anticipa una explotación similar de otras tecnologías web emergentes. Las mismas características que hacen que las PWAs sean valiosas para desarrolladores legítimos—fácil distribución, compatibilidad multiplataforma y capacidades mejoradas—también las hacen atractivas para actores de amenazas. Las medidas de seguridad proactivas deben incluir el monitoreo de patrones inusuales de adopción de PWA, el análisis de tendencias de abuso de permisos y el desarrollo de capacidades de detección especializadas para mecanismos de persistencia basados en web.

Por ahora, esta campaña sirve como un recordatorio contundente de que la conciencia de seguridad debe mantenerse al ritmo de la evolución tecnológica. Las mismas funciones diseñadas para mejorar la experiencia y conveniencia del usuario están siendo utilizadas como armas contra los usuarios, lo que requiere una vigilancia renovada tanto de los equipos de seguridad como de los usuarios individuales.