Investigadores han descubierto una sofisticada campaña de phishing que explota la confianza que los usuarios depositan en sitios web conocidos como Google Drawings y WhatsApp.
Este ataque, categorizado por Menlo Security como una amenaza de «Living Off Trusted Sites» (LOTS), manipula hábilmente estas plataformas legítimas para engañar a las víctimas y lograr que entreguen su información personal y financiera.
El ataque comienza con un correo electrónico de phishing que dirige a los destinatarios a lo que parece ser un enlace de verificación de cuenta de Amazon. Sin embargo, este enlace es un gráfico engañoso alojado en Google Drawings, un componente de la suite Google Workspace.
Este servicio normalmente no está marcado por las herramientas de seguridad tradicionales, lo que lo convierte en una opción atractiva para los atacantes. El gráfico contiene un enlace que, al hacer clic, inicia el esquema de phishing redirigiendo al usuario a través de una serie de URL acortadas, que finalmente conducen a una página de inicio de sesión falsa de Amazon.
Para ocultar aún más sus intenciones, los atacantes utilizan un acortador de URL de WhatsApp, «l.wl.co», que no muestra advertencias sobre redirecciones. Luego, el enlace se acorta aún más utilizando «qrco[.]de», un servicio de código QR dinámico, lo que dificulta aún más que los escáneres de seguridad detecten el sitio malicioso.
Una vez que la víctima llega a la página falsa de Amazon, se le solicita que ingrese información confidencial en varios pasos, incluidas las credenciales de inicio de sesión, los datos personales, la información de facturación y los datos de la tarjeta de pago.
Según Menlo Security, la sofisticación de este ataque subraya las limitaciones de confiar únicamente en la educación del usuario y en las herramientas de seguridad convencionales para prevenir el phishing.
Los expertos en seguridad enfatizaron la necesidad de medidas de protección avanzadas, como el análisis de IA en tiempo real, para detectar y neutralizar dichas amenazas de manera efectiva.