Campaña de phishing mediante Google AppSheet vulnera 30,000 cuentas de Facebook

La nueva amenaza: AccountDumpling y el abuso de plataformas legítimas

La seguridad digital enfrenta un nuevo desafío tras el descubrimiento de una sofisticada campaña de phishing denominada AccountDumpling. Investigadores de Guardio han alertado sobre una operación de origen vietnamita que utiliza la plataforma Google AppSheet como un "relevo" para distribuir correos maliciosos, logrando comprometer exitosamente aproximadamente 30,000 cuentas de Facebook.

El uso de herramientas legítimas de desarrollo no-code permite a los atacantes evadir los filtros de seguridad tradicionales, ya que los correos electrónicos parecen provenir de dominios confiables. Esta táctica demuestra cómo la vulnerabilidad humana sigue siendo el eslabón más débil, incluso cuando los atacantes emplean infraestructura de confianza para ocultar sus intenciones.

El ecosistema del cibercrimen y la monetización de datos

Este hack no es un incidente aislado, sino parte de una cadena industrializada de cibercrimen. Una vez que los atacantes toman control de las cuentas, estas no se utilizan únicamente para el robo de identidad directo; en su lugar, son puestas a la venta en un escaparate ilícito gestionado por los mismos actores.

"Los atacantes han convertido el secuestro de perfiles en un modelo de negocio automatizado, donde el acceso a la cuenta es la mercancía principal", señalan los expertos de Guardio.

Aunque este ataque se centra en el robo de credenciales, es fundamental recordar que la exposición de datos personales suele ser el paso previo para ataques más graves, incluyendo el despliegue de ransomware en entornos corporativos si los perfiles comprometidos tienen permisos administrativos en redes sociales empresariales. Como hemos visto en otros incidentes, como la vulnerabilidad crítica en cPanel y el riesgo de hack asociado, la superficie de ataque es constante y multivectorial.

Recomendaciones para proteger su identidad digital

Para evitar caer en este tipo de engaños, es vital seguir estas pautas:

1. Autenticación en dos pasos (2FA): Utilice siempre aplicaciones de autenticación o llaves físicas en lugar de SMS.
2. Verificación de remitentes: No confíe ciegamente en correos, incluso si utilizan plataformas corporativas conocidas como Google AppSheet.
3. Monitoreo de actividad: Revise periódicamente los dispositivos conectados a su cuenta de Facebook y cierre cualquier sesión desconocida.

La sofisticación de estas campañas subraya la necesidad de una postura de seguridad proactiva. La tecnología, aunque potente, puede ser utilizada en nuestra contra si no se mantienen los protocolos de higiene digital adecuados.

Fuentes:

• The Hacker News (https://thehackernews.com/2026/05/30000-facebook-accounts-hacked-via.html)