Una campaña de spear-phishing identificada como UAT-11985 utiliza invitaciones a eventos fabricadas y páginas de inicio de sesión de Google falsificadas para intentar apropiarse de cuentas de Google de personas vinculadas a organizaciones de investigación de Taiwán.
La actividad se observó por primera vez a mediados de 2026, según el informe de The Hacker News sobre los hallazgos de Cisco Talos. Los atacantes combinan material público y creíble sobre eventos con un proxy de tipo adversario en el medio (AitM), diseñado para capturar credenciales y los desafíos de autenticación multifactor mientras se comunica con el servicio de autenticación legítimo de Google.
El informe no cuantifica los objetivos de la campaña ni establece cuántas cuentas, si es que hay alguna, fueron comprometidas con éxito.
Las invitaciones suplantan a instituciones taiwanesas de investigación y políticas públicas
Los correos se presentan como invitaciones a eventos sobre geopolítica o políticas públicas. Las identidades de los remitentes están falsificadas para parecerse a tres instituciones:
- Taiwan European Union Centre
- NCCU Institute of International Relations
- Taiwan Research Institute
Algunos mensajes incluyen información del evento auténtica o verosímil. El enlace de inscripción incrustado conduce a una infraestructura controlada por los atacantes, aunque Talos informó de que, al pasar el cursor sobre él, puede mostrarse lo que parece ser una dirección legítima de Google Forms.
Una parte de la campaña utiliza phishing con códigos QR, a menudo llamado quishing. En estos casos, los atacantes toman carteles de eventos auténticos de sitios web legítimos y sustituyen el código QR original por uno que dirige a quien lo escanea al sitio malicioso. Talos advirtió de que esta técnica también podría afectar a personas que vean copias impresas del material alterado, lo que extiende el riesgo más allá de los destinatarios iniciales del correo.
Cisco Talos evaluó que es probable que la IA haya ayudado a generar el contenido de los señuelos. Esta conclusión se basa en similitudes estructurales entre mensajes que tratan temas geopolíticos distintos, y no en un acceso confirmado al proceso de producción de los atacantes.
Según se informa, los correos siguen un formato recurrente de tres partes: una extensa exposición sobre el contexto político del evento, elogios personalizados destinados a animar al destinatario a responder, y detalles logísticos como el tema, el lugar y el proceso de inscripción. Talos interpretó los patrones narrativos y retóricos repetidos como indicios de una campaña coordinada que emplea una plantilla reutilizable.
El proxy retransmite en tiempo real las credenciales y las solicitudes MFA
Después de seguir el enlace de inscripción, el destinatario ve una página con el diseño de un formulario de Google. A continuación, una ventana emergente le pide que se autentique con una cuenta de Google antes de completar el formulario.
La página siguiente reproduce de cerca el panel de inicio de sesión de Google. Según el análisis de Talos al que se hace referencia, un JavaScript ofuscado recoge información sobre el visitante antes de abrir una conexión WebSocket, entre ella:
- Idioma del navegador
- Agente de usuario
- Dimensiones de la pantalla
- Si el visitante utiliza un dispositivo móvil
La página envía ese perfil al servidor de comando y control mediante una solicitud denominada google_login_start.
Cuando el usuario envía una contraseña, la página emite otra solicitud, google_login_check, que contiene la contraseña, el identificador de la cuenta y el agente de usuario del navegador. El servidor HTTP C2 del atacante reenvía los datos de autenticación a Google, mientras que la página maliciosa utiliza su conexión WebSocket para reflejar los cambios en el proceso de inicio de sesión legítimo.
Este esquema permite que la víctima vea pasos de autenticación que parecen comportarse con normalidad. Al mismo tiempo, los atacantes pueden recibir las credenciales y retransmitir los desafíos MFA a medida que se producen. Talos describió el objetivo como la obtención de material de autenticación suficiente para una apropiación completa de la cuenta, sin interrumpir de forma visible el flujo de inicio de sesión.
Como el ataque funciona como un relé en tiempo real, un código MFA no es necesariamente una protección si el usuario lo introduce en el panel falso. El código puede transmitirse al servicio legítimo durante la misma sesión.
El soporte de idiomas sugiere un enfoque más amplio hacia usuarios de chino
Las páginas falsificadas admiten chino simplificado (zh-CN), chino tradicional (zh-TW) e inglés. Talos afirmó que esto «sugiere con fuerza» un interés en usuarios de habla china, aunque las opciones de idioma son un indicio del alcance previsto y no una confirmación de la identidad o la ubicación de cada víctima.
La focalización documentada sigue centrada en personas vinculadas a organizaciones taiwanesas de investigación e interesadas en asuntos geopolíticos o de políticas públicas. La imagen institucional, los elogios personalizados para cada destinatario y los eventos públicos reconocibles aportan el contexto social destinado a que una solicitud de autenticación inesperada parezca rutinaria.
Cómo pueden reducir el riesgo los destinatarios
Los destinatarios deben considerar las solicitudes de inicio de sesión recibidas a través de invitaciones no solicitadas o de códigos QR como potencialmente hostiles, incluso cuando los detalles del evento y el cartel sean auténticos. En lugar de autenticarse a través de la invitación, los usuarios pueden acceder a la institución o al organizador del evento mediante una dirección obtenida por separado y confirmar allí el proceso de inscripción.
La barra de direcciones real del navegador merece especial atención en el momento en que se piden credenciales o un desafío MFA. La precisión visual no es prueba de que una página pertenezca a Google, y la campaña está diseñada específicamente para reproducir la experiencia de autenticación legítima.
Quien haya introducido credenciales de Google o una respuesta MFA después de abrir una de estas invitaciones debe notificarlo sin demora al responsable de seguridad o al administrador de la cuenta correspondiente. Los administradores pueden entonces revisar la actividad de la cuenta y las sesiones activas mediante su proceso establecido de respuesta a incidentes, en lugar de confiar solo en un cambio de contraseña.
La variante de código QR maliciosa implica además que la misma precaución se aplica a los carteles y las invitaciones impresas: que un documento de evento tenga un aspecto auténtico no garantiza que el destino de su código QR sea legítimo.
