Especialistas en seguridad cibernética advierten acerca de un nuevo ataque atribuido al grupo APT ToddyCat, que aprovecha sesiones activas en navegadores basados en Chromium para solicitar permisos sobre correos, almacenamiento en la nube y contactos empresariales.
Expertos de Kaspersky identificaron la nueva técnica utilizada por el grupo APT ToddyCat para intentar acceder a cuentas corporativas de Gmail sin necesidad de robar directamente la contraseña del usuario.
Los atacantes aprovechan sesiones de Gmail que permanecen abiertas en el navegador para solicitar permisos sobre recursos de Google, como correos electrónicos, archivos almacenados en la nube y contactos empresariales.
Control de sesión para acceso a información sensible
De acuerdo con las investigaciones proactivas de Kaspersky sobre amenazas avanzadas, en esta campaña los atacantes apuntaron a comunicaciones corporativas alojadas en Gmail con el objetivo de obtener acceso no autorizado a cuentas de correo mediante la API del servicio.
A pesar de que el malware identificado se diseñó para afectar a usuarios de Windows, la técnica podría adaptarse potencialmente a otros sistemas. Denominada Shadow Token via Remote Debug (STRD), afecta a navegadores basados en Chromium.
El ataque funciona porque muchos usuarios dejan su sesión de Gmail abierta en el navegador. Cuando esto ocurre, el navegador conserva una especie de “llave digital” que permite seguir usando la cuenta sin volver a escribir la contraseña. ToddyCat aprovecha esa condición para intentar tomar el control de esa sesión y solicitar acceso a información sensible.
Conexión oculta a través de una función del navegador
Para llevar a cabo el ataque, los delincuentes utilizan un malware llamado Umbrij, el cual es capaz de abrir una conexión oculta a través de una función del navegador que normalmente usan los desarrolladores para hacer pruebas. Al hacerlo, los atacantes pueden enviar solicitudes a Gmail como si provinieran de una sesión ya autenticada del usuario.
Al ingresar al flujo, el malware puede solicitar permisos amplios sobre la cuenta de la víctima, incluido el acceso al correo electrónico, al almacenamiento en la nube y a los contactos. Además, puede aprobar automáticamente la ventana de consentimiento al hacer clic en “Permitir”, obteniendo así el código necesario para acceder a esos recursos.
“Este hallazgo evidencia un cambio importante en la forma en que los atacantes buscan comprometer cuentas corporativas. Ya no se trata únicamente de robar contraseñas o engañar al usuario para que entregue sus credenciales, sino de aprovechar sesiones que ya están abiertas y mecanismos legítimos del navegador para obtener acceso a información sensible. Esto representa un problema para las empresas, porque el correo corporativo concentra conversaciones estratégicas, documentos, contactos y accesos a otros servicios internos”.
Puerta de entrada para espionaje, robo de información y nuevos ataques
Si una cuenta de Gmail empresarial es comprometida, el impacto puede ir mucho más allá del buzón: puede convertirse en una puerta de entrada para el espionaje, el robo de información y nuevos ataques dentro de la organización.
Ante esto, los expertos advierten que las compañías deben revisar qué funciones necesitan realmente sus usuarios, limitar aquellas que no son esenciales y fortalecer la visibilidad sobre comportamientos inusuales en sus entornos digitales, afirma Leandro Cuozzo, investigador de seguridad para América Latina en el equipo GReAT de Kaspersky.
El riesgo de esta nueva técnica al que se enfrentan las empresas es especialmente relevante porque el correo electrónico sigue siendo uno de los principales canales de comunicación interna y externa, y una cuenta comprometida puede exponer conversaciones sensibles, documentos, contactos y otros recursos corporativos.
Los expertos de Kaspersky recomiendan:
- Cerrar sesiones que no estén en uso: Evitar dejar cuentas corporativas abiertas de forma permanente en los navegadores, especialmente en dispositivos compartidos o de uso frecuente. Cerrar sesión y revisar periódicamente los accesos activos ayuda a reducir el riesgo de que una sesión autenticada sea aprovechada por terceros.
- Limitar funciones innecesarias del navegador: Las empresas deben revisar qué usuarios realmente necesitan herramientas de desarrollador o funciones avanzadas en navegadores basados en Chromium. Si no son necesarias para su trabajo diario, deshabilitarlas puede reducir la superficie de ataque.
- Fortalecer la detección y respuesta ante amenazas.
- Apoyarse en inteligencia y servicios especializados: Para las organizaciones que requieren mayor capacidad de monitoreo o no cuentan con suficiente experiencia interna, los servicios como Kaspersky Threat Intelligence, Managed Detection and Response, Compromise Assessment e Incident Response ayudan a detectar riesgos, responder a incidentes y reducir el impacto de posibles compromisos.
Lee: Mundial 2026: IPN transfiere tecnología de ciberseguridad a organizadores
