El correo electrónico continúa siendo uno de los principales objetivos de los ciberdelincuentes y, ahora, una nueva técnica descubierta por investigadores de Kaspersky vuelve a poner en alerta a las empresas que utilizan Gmail como plataforma de comunicación.
La firma de ciberseguridad reveló que el grupo de amenazas persistentes avanzadas (APT) ToddyCat desarrolló un método que permite obtener acceso a cuentas corporativas de Gmail sin necesidad de robar directamente la contraseña del usuario. En su lugar, los atacantes aprovechan una práctica habitual: mantener la sesión iniciada en el navegador durante largos períodos.
Según explicó al empresa de tecnología Kaspersky, esta técnica podría permitir el acceso a correos electrónicos, archivos almacenados en Google Drive y contactos empresariales, recursos que suelen concentrar información estratégica para las organizaciones.
¿Cómo funciona la nueva técnica para acceder a cuentas corporativas de Gmail?
La investigación de entidad identificó un método denominado Shadow Token via Remote Debug (STRD), que afecta a navegadores basados en Chromium, como Google Chrome, Microsoft Edge, Brave y Opera.
De acuerdo con la empresa, el ataque aprovecha una función legítima del navegador utilizada normalmente por desarrolladores para realizar pruebas y depurar aplicaciones.
Cuando un usuario mantiene abierta su sesión de Gmail, el navegador conserva un token de autenticación que evita tener que volver a introducir la contraseña. Ese "token" funciona como una llave digital que mantiene activa la sesión.
Los investigadores explicaron que el grupo ToddyCat utiliza un malware llamado Umbrij para conectarse de forma oculta a esa función de depuración del navegador y realizar solicitudes a Gmail como si provinieran del usuario legítimo.
Como resultado, los atacantes pueden solicitar permisos para acceder al correo electrónico, archivos almacenados en la nube y contactos empresariales.
La empresa agregó, además, que el malware incluso puede aceptar automáticamente la ventana de consentimiento haciendo clic en la opción "Permitir", obteniendo el código necesario para acceder a los recursos autorizados.
Aunque el código malicioso identificado fue diseñado para equipos con Windows, los especialistas advirtieron que el método podría adaptarse a otros sistemas operativos.
¿Por qué representa un riesgo para las empresas?
Según explican, esta técnica marca un cambio importante respecto a los ataques tradicionales, que generalmente buscaban obtener contraseñas mediante campañas de phishing o programas espía.
"Este hallazgo evidencia un cambio importante en la forma en que los atacantes buscan comprometer cuentas corporativas. Ya no se trata únicamente de robar contraseñas o engañar al usuario para que entregue sus credenciales, sino de aprovechar sesiones que ya están abiertas y mecanismos legítimos del navegador para obtener acceso a información sensible", afirmó Leandro Cuozzo, investigador de seguridad para América Latina del equipo GReAT de Kaspersky.
El especialista señaló que una cuenta de Gmail empresarial comprometida puede convertirse en un punto de entrada para espionaje corporativo, robo de información confidencial y nuevos ataques dentro de la organización.
Esto ocurre porque el correo electrónico suele concentrar conversaciones estratégicas, contratos, documentos, calendarios, credenciales para otros servicios y acceso a plataformas colaborativas.
Gmail supera los 3.000 millones de usuarios
La importancia de este tipo de amenazas también está relacionada con el enorme alcance de Gmail.
Durante la conferencia Google I/O 2026, el director ejecutivo de Google, Sundar Pichai, informó que Gmail ya supera los 3.000 millones de usuarios en todo el mundo, consolidándose como uno de los servicios de correo electrónico más utilizados a nivel global.
Además del uso personal, Gmail forma parte de Google Workspace, la plataforma empresarial de Google que integra herramientas como Google Drive, Calendar, Meet y Docs, utilizadas por millones de organizaciones para gestionar su operación diaria.
Precisamente por ello, los expertos consideran que comprometer una cuenta de correo corporativo puede abrir la puerta al acceso de múltiples servicios vinculados a la misma identidad digital.
ToddyCat: un grupo con antecedentes en ataques de ciberespionaje
Kaspersky recordó que ToddyCat no es un actor nuevo dentro del panorama de amenazas.
Investigaciones anteriores ya habían vinculado al grupo con campañas dirigidas al robo de información desde navegadores web, servidores corporativos y servicios de correo electrónico locales y en la nube.
La compañía indicó que esta evolución demuestra cómo los atacantes buscan cada vez más explotar funciones legítimas de los sistemas para evitar ser detectados por las herramientas tradicionales de seguridad.
¿Cómo proteger una cuenta corporativa de Gmail?
Ante este nuevo escenario, la empresa tecnológica recomendó a las instituciones adoptar medidas preventivas para reducir el riesgo de que una sesión autenticada sea utilizada por terceros.
- Cerrar sesiones cuando no estén en uso
La compañía aconseja evitar mantener abiertas permanentemente las cuentas corporativas, especialmente en equipos compartidos o utilizados por varias personas. Revisar periódicamente las sesiones activas también ayuda a detectar accesos no autorizados.
- Limitar funciones avanzadas del navegador
Los especialistas recomiendan revisar qué empleados realmente necesitan utilizar herramientas de desarrollo o funciones avanzadas en navegadores basados en Chromium. Si estas no forman parte de sus tareas, deshabilitarlas puede reducir la superficie de ataque.
- Fortalecer la detección de amenazas
También recomienda implementar soluciones de monitoreo y respuesta capaces de identificar comportamientos inusuales antes de que escalen a un incidente de seguridad.
- Apoyarse en inteligencia de amenazas
Finalmente, la empresa señala que los servicios especializados de inteligencia, evaluación de compromisos e investigación de incidentes pueden ayudar a detectar ataques avanzados y reducir el impacto de una posible intrusión.
Los investigadores señalan que este hallazgo demuestra que la protección del correo corporativo ya no depende únicamente de utilizar contraseñas robustas o autenticación multifactor. La administración adecuada de las sesiones activas, el monitoreo continuo y la aplicación del principio de mínimo privilegio se perfilan como elementos cada vez más importantes para proteger la información crítica de las organizaciones.
Compartir esta nota
Sigue leyendo
{{#volanta}}{{volanta}}{{/volanta}}