Phishing disfrazado de verificación de seguridad de Google usa PWAs para robar códigos OTP y convertir el navegador en proxy

Lo más preocupante, según los investigadores, es que este servicio web incluye un relevo por WebSocket que permite ejecutar peticiones HTTP desde el navegador de la víctima con cualquier método, cabeceras y credenciales que el atacante especifique, y devolver respuestas completas. En la práctica eso convierte el navegador comprometido en un proxy HTTP controlado por el delincuente, que puede así acceder a recursos internos de la red de la víctima y escanear puertos, detectando dispositivos y servicios internos como si el propio atacante estuviera dentro de la red.

Además de la PWA, algunos usuarios reciben la oferta de instalar un APK para Android que supuestamente extiende la «protección» a los contactos. Ese instalador solicita una gran cantidad de permisos de alto riesgo —acceso a SMS, registros de llamadas, micrófono, contactos y el servicio de accesibilidad— y trae componentes peligrosos: teclado personalizado para capturar pulsaciones, listener de notificaciones, servicio para interceptar credenciales autocompletadas y mecanismos de persistencia (registro como administrador de dispositivo, receptor de arranque, alarmas para reiniciar componentes). En otras palabras, si el APK se instala, la posibilidad de una toma total del dispositivo crece de forma significativa.

Este ataque no explota fallos en el navegador ni en el sistema operativo; explota la psicología humana. Al combinar funciones legítimas de la web con una apariencia creíble y una narrativa de «mejora de seguridad», los atacantes consiguen que el usuario entregue voluntariamente los permisos necesarios para el robo de datos y el movimiento lateral en la red. Por eso, las recomendaciones de sentido común son tan importantes: Google no envía comprobaciones de seguridad mediante ventanas emergentes que pidan instalar software fuera de su panel de cuenta; todas las herramientas oficiales se gestionan desde el panel de usuario en myaccount.google.com.

Si crees que podrías estar afectado, hay pasos concretos y urgentes que conviene seguir. En el navegador, revisa las aplicaciones web instaladas y las excepciones de notificaciones y portapapeles; en Chromium (Chrome, Edge) las PWAs aparecen en la lista de aplicaciones y se pueden desinstalar desde la configuración del navegador. En macOS o iOS, elimina cualquier icono o acceso directo que no recuerdes haber creado. En Android, busca apps con nombres sospechosos como «Security Check» y comprueba si hay una aplicación llamada «System Service» con paquete com.device.sync; si tiene privilegios de administrador del dispositivo, revócalos en Ajustes > Seguridad > Aplicaciones de administración de dispositivo antes de desinstalarla. Malwarebytes ofrece pasos precisos para la erradicación en su informe, que conviene seguir si detectas algo similar: informe de Malwarebytes.

En cuanto a mitigación a largo plazo, es recomendable sustituir la verificación por SMS por autenticadores de software o llaves físicas, evitar instalar APKs desde fuentes fuera de Google Play, no aceptar permisos que no entiendas (especialmente accesos a SMS, notificaciones, accesibilidad o teclado), mantener el navegador y el sistema actualizados y utilizar soluciones de seguridad reconocidas para escanear el dispositivo. Cabe destacar que algunos navegadores limitan el alcance de estas técnicas: en Firefox y Safari muchas capacidades del ataque están restringidas, aunque las notificaciones push pueden seguir funcionando; por eso, cambiar de navegador no es suficiente por sí solo, pero reduce el riesgo.

Finalmente, si manejas criptomonedas, actúa con rapidez: revisa direcciones vinculadas, considera mover fondos a carteras cuya llave privada no haya estado en riesgo y habilita medidas de seguridad adicionales. Si tu contraseña de Google u otros servicios pudo haberse visto comprometida, cambia las contraseñas desde otro dispositivo seguro, revisa la actividad de inicio de sesión y considera revocar tokens y sesiones desde el panel de seguridad de la cuenta en Google Security Checkup.

Para entender mejor las piezas técnicas empleadas por los atacantes (service workers, sincronización periódica en segundo plano, WebOTP, etc.), las guías oficiales y la documentación de desarrolladores son recursos útiles: el API de Service Workers se describe en MDN (Service Worker API — MDN), la sincronización periódica en segundo plano en MDN Periodic Background Sync y la API WebOTP en MDN WebOTP API. Conocer cómo funcionan estas piezas ayuda a identificar cuándo su uso es legítimo y cuándo no.

En resumen, la campaña que imita un control de seguridad de Google demuestra que la conjunción de tecnologías web potentes y una presentación convincente puede ser peligrosa cuando se combina con ingeniería social. La mejor defensa sigue siendo la precaución: no instalar aplicaciones desde ventanas emergentes, verificar dominios y fuentes, negar permisos innecesarios y usar métodos de autenticación robustos. Si tienes dudas sobre una posible infección, consulta guías de eliminación de firmas de seguridad como la de Malwarebytes y, si es necesario, pide ayuda a profesionales de confianza.

Lecturas recomendadas para profundizar: el informe técnico de Malwarebytes sobre este incidente (Malwarebytes), la cobertura de medios especializados como BleepingComputer y la documentación de desarrolladores en MDN Web Docs.