Phishing que parecía legítimo: así explotan metadatos de dispositivos para inyectar HTML en correos de alta de cuentas

La mañana después de la manipulación, cientos de clientes de Robinhood recibieron un correo que, a primera vista, parecía una alerta legítima de inicio de sesión: venía de [email protected], pasaba las comprobaciones SPF y DKIM y mostraba datos como hora, IP y teléfono parcial. Sin embargo, dentro del mismo mensaje se había incrustado un bloque HTML diseñado para simular un aviso de "Dispositivo no reconocido" con un botón que llevaba a un sitio de phishing. Robinhood confirmó que se trató de un abuso del flujo de creación de cuentas y que no hubo filtración directa de bases de datos ni acceso a fondos, y que ya eliminaron el campo abusado del correo de registro (declaración de Robinhood en X).

La técnica empleada por los atacantes fue sencilla en su concepción y peligrosa en su eficacia: aprovecharon que el sistema registraba metadatos de "dispositivo" durante la creación de cuentas y que esos metadatos no se limpiaban adecuadamente antes de incorporarlos al cuerpo del correo. Al enviar HTML incrustado en ese campo, lograron que el correo legítimo renderizara contenido malicioso. Además, usaron listas de correos disponibles en mercados y la característica de alias con puntos de Gmail para crear nuevas cuentas que entregaran esas confirmaciones a víctimas reales. Este tipo de abuso demuestra que la autenticidad del remitente no basta para validar la seguridad del mensaje.

Más allá del incidente puntual, la lección técnica es clara: cualquier dato potencialmente controlado por un usuario debe tratarse como hostil. La ausencia de saneamiento (escaping) de entradas en plantillas de correo permitió la ejecución de HTML en un contexto de alta confianza. Organizaciones que generan correos transaccionales deben revisar sus plantillas, eliminar la renderización de HTML proveniente de campos externos y adoptar medidas diseñadas para evitar que metadatos de dispositivos o ubicaciones se conviertan en vectores de inyección. Para entender la naturaleza de estos riesgos conviene revisar guías establecidas sobre inyección y XSS, como las de OWASP (OWASP sobre XSS).

Para los usuarios, las recomendaciones prácticas son inmediatas y simples: no hacer clic en enlaces de correos sospechosos; eliminarlos y verificar cualquier alerta dentro de la aplicación oficial o en la web tecleando la dirección manualmente. Active la autenticación de dos factores, preferiblemente con claves físicas o aplicaciones de autenticación en lugar de SMS, revise la actividad de la cuenta desde la app y cambie la contraseña si existen dudas. Si recibió el correo fraudulento, repórtelo a Robinhood vía los canales oficiales y, por precaución, revise si su dirección aparece en listados de brechas históricas (la firma tuvo una exposición masiva en 2021 que sigue presente en mercados de datos), y considere monitorización de crédito si comparte datos sensibles fuera de la plataforma.

Las empresas deben avanzar más allá de la opinión de "hemos firmado los correos" y aplicar controles en capas: políticas DMARC estrictas con alineamiento, saneamiento y escaping de cualquier entrada en plantillas, limitación de creación masiva de cuentas por origen, detección de patrones anómalos en altas de dispositivos y revisiones periódicas de la lógica que transforma metadatos en contenido visible. También es recomendable que los equipos de producto y seguridad prueben flujos de onboarding con modelos de amenaza y ejercicios de abuse-case para anticipar estas malas utilizaciones.

Este episodio es un recordatorio de que la confianza en el canal correo electrónico es frágil y que los atacantes buscan convertir procesos legítimos en su pasarela. La combinación de controles técnicos, mejores prácticas de desarrollo y hábitos seguros por parte del usuario es la única manera de reducir el éxito de estos engaños. Para ver ejemplos y discusiones públicas del fraude se puede consultar el hilo donde usuarios compartieron capturas y análisis en Reddit (discusiones en Reddit), y seguir las recomendaciones oficiales de la plataforma en sus comunicados.