Durante años, proteger una cuenta de Gmail parecía depender principalmente de una contraseña robusta y la autenticación en dos pasos. Sin embargo, una investigación de Kaspersky revela un cambio preocupante en la forma en que operan los ciberdelincuentes. En lugar de intentar robar credenciales, ahora buscan aprovechar sesiones de Gmail que permanecen abiertas en el navegador para acceder a información corporativa.
La técnica, atribuida al grupo APT ToddyCat, fue bautizada como Shadow Token via Remote Debug (STRD) y afecta a navegadores basados en Chromium. Su funcionamiento parte de una práctica común: dejar la sesión de Gmail abierta durante horas o incluso días. Esa sesión conserva un token de autenticación que permite seguir utilizando la cuenta sin volver a introducir la contraseña. Si un atacante logra tomar control de ese proceso, puede solicitar permisos para acceder al correo electrónico, archivos almacenados en la nube y contactos empresariales.
Para lograrlo, el grupo emplea un malware llamado Umbrij, capaz de utilizar una función del navegador destinada originalmente a desarrolladores. Desde allí envía solicitudes como si provinieran del propio usuario y, en determinadas circunstancias, incluso puede aprobar automáticamente la ventana de consentimiento de Google para obtener el acceso requerido. En otras palabras, el ataque no rompe las medidas de autenticación de Gmail, sino que las rodea aprovechando una sesión que ya fue validada.
El riesgo es especialmente alto en entornos corporativos. Una cuenta de correo empresarial suele concentrar conversaciones estratégicas, documentos, contactos y acceso a otros servicios internos. Comprometer ese buzón puede convertirse en el punto de partida para campañas de espionaje, robo de información o movimientos laterales dentro de la organización.
Este hallazgo también deja una enseñanza importante: la seguridad ya no depende únicamente de impedir que alguien descubra una contraseña. Las sesiones activas, los permisos concedidos y las funciones del navegador también forman parte de la superficie de ataque. En un entorno donde las amenazas evolucionan constantemente, mantener una sesión abierta de forma permanente puede convertirse en un riesgo tan importante como utilizar una contraseña débil.
Ante este escenario, Kaspersky recomienda cerrar las sesiones que no estén en uso, restringir funciones avanzadas del navegador cuando no sean necesarias y fortalecer las capacidades de detección y respuesta ante amenazas para identificar comportamientos anómalos antes de que escalen. Son medidas sencillas, pero cada vez más necesarias frente a ataques que ya no buscan la llave de la puerta, sino entrar aprovechando que alguien la dejó abierta.
