Campaña masiva de phishing aprovecha Google Classroom para atacar a miles de empresas
En el mundo digital, la confianza es un recurso tan valioso como escaso. Y justo por eso los ciberdelincuentes no dudan en explotar plataformas que gozan de buena reputación. El más reciente ejemplo lo trae Check Point Research, que reveló una campaña masiva de phishing que utilizó Google Classroom como fachada para distribuir fraudes a escala global.
Una táctica inesperada
En tan solo una semana, los atacantes lanzaron cinco oleadas coordinadas, enviando más de 115.000 correos falsos dirigidos a 13.500 empresas en sectores tan variados como finanzas, retail, educación y tecnología.
El truco fue sencillo, pero efectivo: invitaciones falsas para unirse a aulas de Google Classroom. En lugar de conectar a docentes y estudiantes, estas invitaciones contenían ofertas comerciales engañosas (desde supuesta reventa de productos hasta servicios de SEO) que terminaban redirigiendo a las víctimas a comunicarse por WhatsApp, un canal mucho más difícil de controlar para las defensas corporativas.
¿Por qué funcionó?
El éxito de la campaña se basó en un detalle clave: muchos sistemas de seguridad tienden a confiar en mensajes enviados desde servicios legítimos de Google. Así, los atacantes lograron burlar las barreras tradicionales de seguridad del correo electrónico y colarse en los buzones empresariales antes de que las defensas reaccionaran.
La lección: las defensas tradicionales ya no son suficientes
Este incidente demuestra que los gateways tradicionales de correo ya no bastan. Los ciberdelincuentes cada vez se apoyan más en servicios en la nube confiables para disfrazar sus ataques.
Desde Check Point recomiendan adoptar un enfoque de ciberseguridad en capas, que incluya:
- Formación a empleados: aprender a desconfiar incluso de invitaciones que parezcan legítimas.
- Prevención avanzada con IA: no basta con analizar el remitente, hay que entender el contexto y la intención.
- Monitoreo de aplicaciones en la nube: la protección debe extenderse más allá del correo, cubriendo apps colaborativas, mensajería y SaaS.
- Conciencia sobre ingeniería social: saber que los atacantes buscan sacar a la víctima de los canales seguros (como el correo corporativo) hacia otros como WhatsApp.
La buena noticia
A pesar de la sofisticación de la campaña, la tecnología SmartPhish de Check Point logró detectar y bloquear la mayoría de los intentos, reforzando la importancia de contar con soluciones capaces de anticiparse a ataques tan creativos.
Conclusión
El caso de Google Classroom es una advertencia clara: ningún servicio, por popular o confiable que sea, está a salvo de ser utilizado como vehículo para fraudes digitales. La ciberseguridad ya no se trata solo de proteger el correo, sino de blindar todo el ecosistema digital de las empresas.
