Phishing por Google Calendar: Por Que las Invitaciones Falsas Evitan su Filtro de Spam

A la bandeja de entrada de la oficina llega una invitacion a una reunion de una empresa con la que nadie ahi ha tratado nunca. Nadie la agendo. Y en realidad no va dirigida a su oficina, va dirigida a varios cientos de desconocidos al mismo tiempo.

Las oficinas de por aca estan viendo mas de estas cada mes, y casi nadie sabe todavia que este ataque existe. Asi que aqui esta todo: como se ve una invitacion de calendario fraudulenta, por que pasa sin problema el filtro de spam que atrapa todo lo demas, y el unico ajuste que la detiene.

Como se ve una de estas

El asunto es la señal delatora. En lugar del nombre de una reunion, el titulo del evento es un muro de direcciones de correo:

renbrandt@..., rene.goncalves@..., rene.rivas@..., rene@..., renee.braaten@..., renee@..., rengin@..., reno@..., rentalpartners@..., repair@..., report@..., reporting@..., reports@..., requests@..., research@..., reservations@..., resources@..., response@...

Fijese en el patron. Todas y cada una de las direcciones caen en la misma seccion del alfabeto, desde "renb" hasta "resp". Eso es alguien recorriendo una lista de contactos robada por lotes alfabeticos, metiendo cientos de direcciones en el titulo del evento para que una sola invitacion las alcance a todas al mismo tiempo.

El cuerpo trae un enlace de Google Meet y un numero para marcar. Nada mas. Sin archivo adjunto, sin pagina de inicio de sesion falsa, sin factura.

Por que nunca llega a la carpeta de spam

Esta es la parte que agarra desprevenida a la gente, y vale la pena entenderla aunque usted nunca vea una de estas.

Una invitacion de calendario no es un correo normal. Llega como una notificacion de los propios servidores de calendario de Google, enviada por una infraestructura en la que su empresa ya confia. Cada enlace del mensaje apunta a una direccion real de google.com. No hay dominio mal escrito, ni adjunto sospechoso, ni URL acortada. Desde el punto de vista de su filtro de spam, no hay nada que atrapar.

Ese es todo el truco. El atacante no esta colando un mensaje a traves de sus defensas. Esta usando un servicio legitimo exactamente como fue diseñado y dejando que Google entregue el mensaje por el.

Lo peor: puede agregarse solo a su calendario

Google Calendar tiene un ajuste que decide cuales invitaciones se agregan a su calendario automaticamente. Si el suyo esta configurado para aceptar invitaciones de todos, una invitacion fraudulenta puede plantar un evento real en su agenda sin que usted haga un solo clic.

Ya no es solo un correo que puede ignorar. Es una reunion en su calendario, con un recordatorio que sonara en su telefono, y se ve igual de legitima que su cita de las 2:00 con un cliente. Ese es un anzuelo mucho mejor que un mensaje olvidado en la bandeja, y por eso este ataque sigue creciendo.

Que es lo que en realidad buscan

Como el mensaje no trae una pagina de inicio de sesion falsa, la gente suele suponer que es basura inofensiva. No lo es. Por lo general hay dos objetivos.

Que usted entre a la llamada. El enlace de Meet es la carga util. Quien se conecta termina hablando con una persona real que llego preparada para trabajarlo: un problema con una factura, un pago que hay que redirigir, la peticion de instalar una "herramienta de soporte" para arreglar algo en su pantalla. La voz es mucho mas persuasiva que un correo mal escrito, y al engaño le basta con funcionar una sola vez.

Confirmar que usted existe. Estas listas son enormes y en su mayoria estan desactualizadas. Cualquiera que responda a la invitacion, conteste el correo o entre a la llamada demuestra que su direccion esta activa y que la vigila una persona real. Esa direccion queda marcada como acierto confirmado y se vende o se ataca con mas fuerza. Incluso un simple "Rechazar" les dice lo que querian saber.

Señales de alerta para su recepcion

Comparta estas con quien vigila el correo compartido, porque ahi es donde suelen caer.

• El titulo del evento es una lista de correos. Las reuniones reales tienen nombre. Esta es la señal mas clara de todas.
• Gmail dice "Invitacion de un remitente desconocido". Google le esta avisando directamente que usted nunca ha interactuado con esa persona.
• No tiene historial con el remitente ni con su empresa. Busque en su propio correo. Si hoy es la primera vez que aparece ese dominio, tratelo como hostil.
• Su asistencia aparece como opcional en una reunion que usted nunca acepto.
• La reunion es para ahora mismo o dentro de la hora. La urgencia es intencional.
• El remitente es un negocio real de un giro que no tiene nada que ver. Una cuenta secuestrada en una empresa legitima convence mas que una direccion desechable, y justo por eso la usan.

Que hacer cuando llegue una

1. No entre a la reunion. No hay ninguna razon para averiguar quien esta del otro lado.
2. No responda a la invitacion. Ni Si, ni Quiza, ni No. Cada respuesta confirma una direccion activa.
3. No le conteste al remitente. Incluso un "ya no me escriba" o un "creo que lo hackearon" confirma que usted esta ahi y que lee.
4. Reportela en Calendar. Abra el evento, haga clic en Mas acciones arriba a la derecha y luego en Denunciar como spam. Google elimina el evento de su calendario al hacerlo, y se lleva toda la serie si se repite.
5. Avisele a su equipo. Si le llego a usted, es muy probable que le haya llegado a sus companeros en el mismo lote alfabetico.

El ajuste que detiene la siguiente

Esta es la solucion, y toma unos quince segundos. En Google Calendar abra Configuracion, vaya a la pestaña General, busque Configuracion de eventos y cambie Agregar invitaciones a mi calendario a Solo si el remitente es conocido.

Despues de eso, un evento solo se agrega automaticamente cuando el remitente esta en sus contactos, pertenece a su organizacion o es alguien con quien usted ya ha tenido correspondencia. Los desconocidos todavia pueden enviarle una invitacion, pero ya no pueden ponerla solos en su agenda.

Dos advertencias honestas. El cambio solo aplica a invitaciones nuevas, asi que lo que ya esta en su calendario hay que limpiarlo a mano. Y Google advierte que este ajuste puede revelarle a un remitente que no esta en sus contactos. Es un intercambio justo con tal de mantener a los desconocidos fuera de su calendario.

Algo mas que vale la pena hacer: asegurese de que sus proveedores, clientes y personal reales esten guardados en sus contactos. De lo contrario, una invitacion legitima de un cliente nuevo puede dejar de aparecer en su calendario sin avisar, y perderse una reunion real sale caro a su manera.

Si alguien ya entro o ya respondio

No se alarme, y no haga sentir tonta a la persona que hizo clic. La verguenza es la razon por la que estas cosas se esconden en lugar de reportarse.

Responder el correo o la invitacion por si solo no compromete nada. Confirma que su direccion esta activa, asi que espere mas basura dirigida a ese buzon y vale la pena vigilarlo un poco mas de cerca por un tiempo.

Entrar a la llamada es otra cosa. Si alguien instalo software, compartio su pantalla, escribio una contraseña o cambio datos de pago durante esa reunion, tratelo como un incidente real. Cambie las contraseñas involucradas, active la verificacion en dos pasos si aun no la tiene, llame a su banco directamente a un numero que usted mismo busque, y haga que alguien capacitado revise el equipo. Es mejor revisarlo y no encontrar nada que dejarlo pasar un mes.

El mismo libreto, otro canal

Si esto le suena conocido, deberia. Es la llamada del pirata de toner con otro disfraz. El mismo guion: hacerse pasar por alguien con un motivo creible para contactarlo, agarrar a quien este vigilando el correo y fabricar la urgencia justa para que nadie se detenga a verificar. Escribimos sobre esa version en nuestra guia sobre como evitar las estafas telefonicas de toner, y la defensa es identica. Baje la velocidad, verifique por un canal que usted mismo eligio, y dele a su equipo permiso explicito para decirle "dejeme confirmar eso" a cualquiera.

El lado del equipo de oficina tambien importa. Su copiadora es una computadora en red que escanea, envia correos y guarda documentos, y esta en la misma red que todo lo demas. Lo cubrimos en riesgos de seguridad en impresoras y copiadoras si quiere el panorama completo.

Preguntenos antes de hacer clic

Somos una tienda local de copiadoras e impresion en Clarksville, y trabajamos con oficinas en todo el sur de Indiana y el area metropolitana de Louisville, desde New Albany y Jeffersonville hasta Sellersburg y Floyds Knobs. No somos su empresa de TI, pero estamos en muchas oficinas cada semana y vemos esto constantemente. Si algo llega a su bandeja y no le da buena espina, reenvienoslo y le diremos con franqueza si es legitimo. La oferta vale sea usted cliente o no, y una segunda opinion no cuesta nada.

Y si resulta que necesita ayuda de verdad con eso, trabajamos junto a buena gente local de TI y con gusto lo ponemos en contacto.

Contactenos en [email protected] o al 812.800.8316, o por nuestra pagina de contacto.

Si esto le evito un dolor de cabeza a usted o a su equipo, una reseña en Google significa mucho para una tienda local como la nuestra.