Google advierte sobre aumento del 84% en ataques a Gmail y recomienda cambiar contraseñas por passkeys

Los ataques contra las cuentas de Google están oficialmente confirmados y han experimentado un aumento dramático. Según datos de la propia Google, la empresa observó un incremento del 84% en ataques de bypass de autenticación de dos factores durante 2024, y ahora ha confirmado que «esto solo se ha intensificado en 2025».

Los ataques contra Gmail se disparan

Cuando se analiza el panorama general, el phishing y el robo de credenciales ahora representan más de un tercio de todos los ataques exitosos contra cuentas de Google. Con aproximadamente 2.5 mil millones de usuarios de Gmail en todo el mundo, la plataforma se encuentra bajo constante ataque de actores maliciosos que buscan comprometer cuentas.

Andy Wen, director senior de gestión de productos de Google, ha advertido que «los atacantes están intensificando sus métodos de phishing y robo de credenciales, que impulsan el 37% de las intrusiones exitosas». Además, Wen continuó: «hemos visto un aumento exponencial en el robo de cookies y tokens de autenticación como método preferido para los atacantes».

Google responde con nuevas medidas de seguridad

Google no se ha quedado de brazos cruzados ante esta escalada de ataques. Un anuncio del 29 de julio detalla una nueva protección de seguridad que se ofrece a algunos usuarios, junto con una advertencia para que todos los usuarios cambien sus contraseñas ahora.

Passkeys: la nueva frontera de seguridad

La primera recomendación de Google forma una advertencia que todos los 2.5 mil millones de usuarios de Gmail deberían atender: actualizar su cuenta para usar passkeys en lugar de contraseñas. El soporte para passkeys ahora está disponible con «capacidades administrativas ampliadas para auditar la inscripción y restringir passkeys a claves de seguridad físicas» para más de 11 millones de clientes de Google Workspace.

Device bound session credentials

Para clientes de Workspace, Google está ofreciendo una beta abierta de Device Bound Session Credentials (DBSC) para proteger contra ataques de bypass de cookies de autenticación de dos factores. Esta tecnología proporciona a los usuarios una protección post-autenticación mejorada al ayudar a garantizar que solo el dispositivo de origen pueda acceder a la sesión activa.

Cambios en la transparencia de Project Zero

El 30 de julio, Tim Willis, jefe del Project Zero de Google, confirmó cambios significativos para reducir el «patch gap» o retraso entre encontrar una vulnerabilidad y obtener la corrección en los dispositivos de los usuarios.

A partir de ahora, Google Project Zero compartirá públicamente que se ha descubierto una vulnerabilidad dentro de una semana de haber sido reportada a un proveedor. Esta medida de transparencia busca crear canales de comunicación más sólidos entre proveedores upstream y dependientes downstream.

Por qué todos los usuarios deben cambiar a passkeys

Los beneficios de las passkeys comparados con las contraseñas son claros y han sido respaldados repetidamente por expertos en seguridad. Wen ha reforzado la mayor seguridad que puede ofrecer este simple cambio: «A diferencia de las contraseñas, que pueden ser adivinadas, robadas u olvidadas, las passkeys son credenciales digitales únicas vinculadas al dispositivo del usuario».

Tres razones clave para cambiar a passkeys:

1. Resistencia al phishing: Las passkeys son inherentemente más resistentes al phishing porque los usuarios no pueden ser engañados para entregar passkeys a un actor malicioso.

2. Simplicidad de uso: Iniciar sesión con passkeys es tan simple como desbloquear tu dispositivo, usando un PIN o biometría como huellas dactilares o reconocimiento facial.

3. Unicidad: A diferencia de las contraseñas que a menudo se reutilizan, cada passkey es única y se genera para cada sitio web o servicio específico.

La urgencia es real

Con ataques de bypass de 2FA aumentando un 84% y los métodos de robo de credenciales volviéndose más sofisticados, la actualización a passkeys ya no es solo una recomendación: es una necesidad urgente de seguridad.

Google ha sido transparente sobre los desafíos de seguridad que enfrenta, y sus 2.5 mil millones de usuarios de Gmail deben tomar nota de esta advertencia y actualizar la seguridad de sus cuentas inmediatamente.

Los atacantes no distinguen entre cuentas gratuitas y de pago de Gmail, por lo que todos los usuarios deben implementar estas medidas de protección sin demora.