Durante el análisis de una campaña reciente de Fraude al CEO también conocidos como ataques BEC (Business Email Compromise), nuestro equipo de Ciberinteligencia detectó una técnica poco documentada pero altamente efectiva, el uso de un «open redirect» en Google que permite a los atacantes evadir la advertencia de redirección habitual y enviar de manera encubierta a las víctimas hacia sitios maliciosos.
¿En qué consiste este recurso?
De forma estándar, cuando un usuario hace clic en un enlace de Google que apunta a un dominio externo, el sistema muestra una advertencia de seguridad previa. Con este mecanismo, Google busca impedir que su infraestructura sea utilizada como puente para conducir tráfico hacia páginas fraudulentas. Sin embargo, los actores de amenaza han encontrado la manera de manipular la lógica de redirección, evitando que la alerta se despliegue y otorgando a sus enlaces una apariencia de legitimidad.
Al agregar ciertos parámetros como source, ust y usg a la URL, los atacantes pueden generar enlaces temporales que redirigen sin mostrar ninguna alerta al usuario. Un ejemplo a continuación.
1.- Acceso a la URL de redirección sin parámetros muestra «aviso de redireccionamiento.»
2.- Acceso a la URL de redirección con parámetros válidos genera redirección automática.
Estos enlaces, al estar respaldados por la reputación de Google, resultan convincentes y más difíciles de detectar tanto para las víctimas como para soluciones de seguridad que utilicen detecciones basadas en URL y reputación.
Otro imagen que muestra claramente la diferencia en el comportamiento.
¿Por qué es relevante?
Este hallazgo confirma que los atacantes innovan constantemente, aprovechando pequeños “features” ocultos para sortear controles. Por eso, confiar solo en los IoC (Indicadores de Compromiso) es insuficiente.
- Los IoCs tienden a caducar rápidamente o quedar invisibles en campañas como esta.
- El verdadero valor está en el análisis de TTPs (Tácticas, Técnicas y Procedimientos), que permite anticipar movimientos adversarios y detectar patrones que no dependen de un dominio o hash específico.
Una mirada más allá de lo evidente
En CronUp Ciberseguridad insistimos en que enfocarse únicamente en lo conocido es ver solo una parte del panorama. La ventaja real surge de comprender y anticipar los TTPs, incluso antes de que aparezcan en los reportes o feeds de IoCs.
🔴 Manténgase alerta: ya hemos visto actores de amenaza abusando activamente de esta técnica en campañas de suplantación de identidad.
Intel by CronUp Ciberseguridad
En CronUp Ciberseguridad aplicamos nuestra metodología ATRc® (Alerta Temprana de Riesgos) para identificar este tipo de amenazas emergentes y ayudar a nuestros clientes a anticipar al adversario, fortaleciendo su postura de ciberseguridad antes de que sea demasiado tarde.
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
