Ciberdelincuentes usan notificaciones reales de Google Tasks para hackear empresas

Ciudad de México, 2 de marzo de 2026.

Actualmente, una nueva campaña de phishing aprovecha notificaciones legítimas de Google Tasks. De esta manera, los atacantes engañan a los empleados y roban credenciales corporativas sin levantar sospechas. Por su parte, los investigadores de Kaspersky identificaron esta peligrosa táctica. Los ciberdelincuentes utilizan el dominio oficial @google.com y el sistema de notificaciones de Google. En consecuencia, logran eludir los filtros tradicionales de seguridad en el correo electrónico. Además, aumentan la credibilidad del engaño significativamente.

Un email enviado por los atacantes a través de Google Tasks

El mecanismo del engaño

En primer lugar, las víctimas reciben un mensaje aparentemente auténtico. Este correo tiene el asunto “You have a new task” (“Tienes una nueva tarea”). Asimismo, la notificación simula que la empresa implementó Google Tasks como herramienta interna. Por lo tanto, el mensaje genera mucha presión para actuar con rapidez. De hecho, el correo suele incluir indicadores de alta prioridad y plazos muy ajustados.

Posteriormente, el usuario hace clic en el enlace de la notificación. Entonces, el sistema lo redirige a un formulario fraudulento. Esta página falsa se presenta como un portal de “verificación de empleado”. Bajo este pretexto, la plataforma solicita ingresar las credenciales corporativas del trabajador.

Consecuencias críticas para las empresas

Ciertamente, las consecuencias de este ataque resultan críticas para las organizaciones. El robo de credenciales permite el acceso no autorizado a sistemas internos. Más aún, esta intrusión se convierte en la puerta de entrada para ataques mayores. Por ejemplo, los hackers ejecutan fraudes financieros, robo de propiedad intelectual o despliegue de ransomware.

A menudo, una sola cuenta vulnerada es suficiente para causar estragos. Los delincuentes se mueven lateralmente dentro de la red corporativa. También, escalan privilegios y permanecen sin ser detectados durante semanas. Por consiguiente, las empresas enfrentan riesgos reputacionales y severas pérdidas económicas por la filtración de datos.

Al respecto, María Isabel Manjarrez, Investigadora de Seguridad para América Latina en Kaspersky, explicó la gravedad del problema. “Lo más preocupante de esta campaña es que no suplanta a Google”. Por el contrario, el atacante se apalanca de sus notificaciones reales para colarse por la puerta grande. En otras palabras, el delincuente desactiva la desconfianza natural del usuario. “El atacante no necesita malware para causar daño inmediato”. Finalmente, la experta recordó que la confianza automática en plataformas legítimas es el punto más débil hoy en día.

Recomendaciones de ciberseguridad

Para evitar estas vulnerabilidades, los expertos de Kaspersky recomiendan tomar medidas inmediatas:

• Primero, debes desconfiar incluso de notificaciones provenientes de dominios legítimos. Por lo tanto, confirma siempre las solicitudes inesperadas con tu equipo.
• Segundo, verifica cuidadosamente los enlaces antes de ingresar información. En caso de tener dudas, simplemente no continúes.
• Además, activa la verificación en dos pasos en todas tus cuentas corporativas.
• Por último, implementa soluciones de seguridad especializadas para correo y entornos corporativos. Por ejemplo, Kaspersky Security for Mail Server y la línea Kaspersky Next bloquean estos intentos de phishing de forma efectiva.