- Google confirmó un acceso no autorizado asociado a Salesforce que expone datos vinculados a 2.500 millones de cuentas de Gmail.
- No se filtraron contraseñas ni datos financieros, pero sí información básica de contacto con riesgo de phishing y suplantación.
- El ataque se basó en ingeniería social con apps falsas (como Data Loader) y llamadas haciéndose pasar por soporte.
- Se recomiendan passkeys y verificación en dos pasos, además de controles y formación en empresas.
Google ha confirmado un incidente de seguridad que afecta a una escala sin precedentes: la exposición de datos vinculados a 2.500 millones de cuentas de Gmail. Aunque las contraseñas no se han visto comprometidas, la magnitud del acceso a información básica plantea riesgos reales de fraudes y suplantaciones. Para entender cómo proteger tu cuenta, consulta medidas de seguridad de Gmail.
La compañía atribuye el ataque al grupo ShinyHunters y lo relaciona con el uso indebido de una base corporativa alojada en Salesforce. Según el Google Threat Intelligence Group, el 5 de agosto de 2025 se detectó la intrusión y se aplicaron medidas de contención y notificación a los afectados. Para saber si tu cuenta podría estar expuesta, consulta cómo buscar una cuenta de Gmail.
Qué ha confirmado Google y alcance del incidente
Google ha reconocido el acceso no autorizado a una base de datos utilizada con fines empresariales, alojada en Salesforce, con impacto sobre 2.500 millones de cuentas de Gmail. La investigación interna indica que los actores maliciosos accedieron durante un intervalo breve antes de que se bloqueara el movimiento. Para reforzar la seguridad de tu cuenta, aprende a cambiar la contraseña.
Los sistemas principales de autenticación no se vieron comprometidos y no hay evidencias de robo de contraseñas o datos financieros. Sin embargo, el volumen de registros afectados multiplica el potencial de campañas masivas de phishing dirigidas a usuarios y organizaciones.
Qué datos quedaron expuestos y qué riesgos conllevan
La información accedida se describe como básica o de contacto (por ejemplo, nombres comerciales y direcciones de correo asociadas a cuentas), lo que no resta peligrosidad: con estos datos los atacantes pueden construir correos y llamadas verosímiles para engañar a las víctimas. Para saber más sobre medidas de protección, consulta .
Se están observando intentos de estafa y suplantación en los que se contacta por teléfono o email fingiendo ser soporte de Google, forzando procesos de “recuperación de cuenta” para interceptar códigos y tomar el control del perfil. También se han reportado presiones de extorsión con plazos y pago en bitcoin bajo la amenaza de hacer públicos los datos.
Cómo se llevó a cabo el ataque
No se trató de una vulnerabilidad técnica en Salesforce, sino de una campaña de ingeniería social. Los atacantes llamaban a empleados haciéndose pasar por soporte y les guiaban para autorizar conexiones de herramientas falsas, incluyendo versiones manipuladas del Data Loader, con las que pudieron copiar datos empresariales.
Además del engaño telefónico, investigadores avisan de que los criminales están probando tácticas complementarias, como aprovechar enlaces de almacenamiento caducados (los llamados “dangling buckets”) para intentar extraer información o introducir malware en entornos mal configurados.
Quiénes se han visto afectados
El impacto golpea especialmente a pequeñas y medianas empresas que integran servicios de Google con Salesforce, si bien el alcance incluye cuentas particulares asociadas. Google afirma haber notificado a los perfiles potencialmente expuestos y recalca que no hay evidencia de robo de credenciales.
El ecosistema ya está notando el efecto secundario: se ha disparado el volumen de correos y llamadas fraudulentas de aparente “asistencia técnica”. La combinación de datos de contacto y guiones de ingeniería social incrementa la tasa de éxito de los ataques si no se adoptan contramedidas.
Medidas de seguridad recomendadas
Para usuarios particulares
Activa protecciones adicionales y desconfía de cualquier contacto que solicite claves o códigos de verificación.
- Passkeys siempre que sea posible: son más resistentes al phishing que las contraseñas.
- Revisa la actividad de tu cuenta: comprueba inicios de sesión y dispositivos desconocidos.
- No respondas a mensajes sospechosos: Google no pide contraseñas por email o teléfono.
- Actualiza contraseñas y apps: usa claves únicas y mantén tus dispositivos al día.
Para empresas y administradores
Refuerza los controles de acceso y la gobernanza sobre aplicaciones conectadas a Google y Salesforce.
- Principio de mínimo privilegio: limita permisos de usuarios y herramientas (p. ej., Data Loader).
- Gestión de apps de terceros: audita qué apps pueden conectarse y quién puede aprobarlas.
- Restricción por IP/ubicación: define redes de confianza y bloquea accesos fuera de rango.
- Alertas y monitoreo: detecta descargas masivas y comportamientos anómalos en la nube.
- Formación continua: entrena al personal frente a phishing e ingeniería social.
- Política ante extorsiones: no pagues, preserva evidencias y reporta por canales oficiales.
ShinyHunters: antecedentes del grupo
El grupo ShinyHunters, al que se atribuye esta intrusión, ha firmado incidentes de alto perfil en los últimos años, lo que explica su capacidad para operar campañas complejas y multivector.
- Tokopedia (2020): pusieron a la venta datos de decenas de millones de usuarios del principal eCommerce de Indonesia.
- Repositorios de Microsoft en GitHub: se atribuyeron accesos a código y recursos privados con filtraciones parciales en foros.
- Wattpad: la exposición afectó a cientos de millones de cuentas con información de usuarios filtrada en foros de piratería.
- Pixlr (2021): divulgación de registros de usuarios aprovechados en campañas de phishing y relleno de credenciales.
- Pizza Hut Australia (2023): reclamaron el robo de datos de pedidos e información de clientes.
La combinación de ingeniería social y reventa de datos que caracteriza a ShinyHunters encaja con el patrón observado en esta filtración, donde el gancho no fue un fallo técnico aislado sino el engaño a personas con acceso legítimo.
Con el foco puesto en la prevención y la higiene digital, el caso refuerza una idea clave: aunque no se hayan filtrado contraseñas, la exposición de datos de contacto a esta escala convierte a usuarios y empresas en objetivos atractivos. Blindar la cuenta con passkeys, MFA y controles de acceso estrictos, unido a la vigilancia ante llamativas “ayudas” por teléfono o email, marca la diferencia entre caer en el anzuelo o mantener la cuenta a salvo.
