- La "estafa invisible" manipula resúmenes de Gmail con texto oculto y hace creer que hay filtraciones de contraseñas.
- El correo incluye un número de soporte falso que conecta con estafadores para robar datos y dinero.
- Expertos aconsejan no llamar ni pulsar enlaces, verificar avisos solo en el panel de seguridad de Google.
- Activa la verificación en dos pasos y usa la función "Informar phishing" para frenar el fraude.
Una nueva táctica de suplantación está poniendo en jaque a los usuarios de correo de Google. Se la conoce como «estafa invisible» y destaca por su capacidad de colarse en la bandeja de entrada con un aspecto totalmente normal, sin levantar sospechas ni disparar las alarmas habituales.
El truco aprovecha funciones basadas en inteligencia artificial incorporadas en Gmail para generar avisos que imitan a los oficiales. El resultado es un mensaje que parece legítimo, persuasivo y personalizado, con el que los atacantes logran que la víctima actúe con prisa y ceda sus datos.
¿Qué es la «estafa invisible» y por qué preocupa?
A diferencia del phishing de toda la vida (lleno de faltas o dominios extraños), este método destaca por su realismo. Los delincuentes elaboran correos que se integran en hilos reales o adopten formatos habituales de notificaciones, incluso pareciendo vacíos en algunos casos.
Expertos en ciberseguridad han observado que el fraude explota la confianza en los resúmenes automáticos y otros procesamientos de IA. Así, el usuario ve una alerta aparentemente emitida por Google, como si fuese oficial, y baja la guardia.
En ciertos reportes se describe además que, al interactuar con el mensaje, se puede redirigir a páginas clonadas o a descargas maliciosas, una variante que mezcla técnicas clásicas de phishing con automatización avanzada.
Cómo funciona el engaño paso a paso
El ataque arranca con un correo que aparenta ser una comunicación de soporte o una actualización de seguridad. En su interior, los estafadores insertan texto en blanco sobre fondo blanco (o instrucciones ocultas) que pasan inadvertidas para la persona, pero que sí leen los sistemas de IA que generan resúmenes.
Cuando Gmail procesa el mensaje, esas instrucciones inducen a que el resumen advierta de una supuesta «filtración de contraseña» o un «acceso no autorizado». Junto a ese aviso aparece un número de atención o un enlace para «solucionar» el problema.
Ese número conduce a una central de estafadores. Allí, falsos agentes se presentan como soporte de Google y solicitan contraseñas, códigos de verificación, datos bancarios o el pago de supuestas tasas por «recuperar la cuenta». El guion es convincente y aprovecha la urgencia creada por el falso aviso.
En paralelo, algunos correos redirigen a sitios que emulan la interfaz de Google, donde se pide iniciar sesión o confirmar datos. Son páginas falsas diseñadas para robar credenciales y tomar control del correo y otros servicios vinculados.
Técnicas empleadas y funciones de Gmail implicadas
Según análisis de distintos equipos especializados, la ofensiva se apoya en IA generativa para pulir el tono del mensaje y evadir filtros. También se han detectado abusos de funciones como el modo confidencial o las respuestas inteligentes, que dificultan rastrear el origen del fraude.
Además, hay campañas que introducen el correo en conversaciones existentes (como una respuesta más), lo que refuerza la sensación de legitimidad. Todo ello reduce las señales clásicas de alerta y complica la detección a simple vista.
Organizaciones y fuentes del sector —entre ellas asociaciones y organismos públicos citados en informes regionales— han descrito esta operativa y su rápida expansión, subrayando que la combinación de ingeniería social y automatización eleva el nivel de sofisticación.
Señales de alerta y cómo proteger tu cuenta
Aunque el señuelo sea creíble, hay pistas que conviene vigilar. La recomendación principal es desconfiar de cualquier aviso que te empuje a llamar a un número o a actuar de inmediato sin verificación independiente.
- No llames ni pulses enlaces incluidos en correos alarmistas. Accede a tu cuenta escribiendo la URL oficial en el navegador.
- Comprueba el remitente completo y el dominio del mensaje; los estafadores usan variaciones mínimas que parecen auténticas.
- Revisa el Panel de seguridad de tu cuenta de Google para confirmar si existen alertas reales o actividad sospechosa.
- Activa la verificación en dos pasos (2FA) para bloquear accesos incluso si alguien obtiene tu contraseña.
- Considera desactivar temporalmente respuestas automáticas o funciones que procesen contenido si detectas anomalías.
- Utiliza la opción «Informar phishing» en Gmail para reportar correos engañosos y ayudar a mejorar los filtros.
- Vigila cambios inesperados: reenvíos no autorizados, sesiones abiertas desde ubicaciones extrañas o mensajes salientes que no recuerdas.
Recuerda que Google no solicita contraseñas, códigos de verificación ni datos bancarios por correo ni por teléfono. Si te piden esa información, es un síntoma claro de fraude.
Qué está haciendo Google y qué dicen los expertos
Fuentes del sector apuntan a que Google está ajustando sus sistemas para detectar mejor los patrones de este fraude y mitigar los abusos de la lectura automatizada en los resúmenes. Entre tanto, anima a revisar los avisos solo desde la configuración oficial.
Especialistas recomiendan medidas de prudencia adicionales: evitar abrir mensajes inesperados, desconfiar de urgencias y verificar cualquier incidencia por la vía oficial. La educación del usuario sigue siendo, según coinciden, la mejor defensa.
Preguntas frecuentes
- ¿Qué es la «estafa invisible» en Gmail? Es una modalidad de phishing que utiliza texto oculto y procesamiento de IA para generar alertas falsas dentro del propio correo.
- ¿Qué buscan los atacantes? Principalmente robar credenciales, códigos de verificación y datos financieros; en ocasiones, cobrar servicios inexistentes por teléfono.
- ¿Cómo verificar si una alerta es real? Entra en tu cuenta de Google y revisa el panel de seguridad; no te fíes de números o enlaces incluidos en el correo.
- ¿Cómo reporto un intento? Usa la opción «Informar phishing» de Gmail y, si has compartido datos, cambia contraseñas y revoca sesiones activas.
La combinación de mensajes verosímiles, instrucciones ocultas y telefonía de «soporte» convierte a esta táctica en un ataque especialmente insidioso; con vigilancia, verificación directa en las herramientas oficiales y hábitos de seguridad como el 2FA, el riesgo se reduce de forma notable.