Malware abusa del endpoint OAuth de Google para “revivir” cookies y secuestrar cuentas
Se informa que autores de malware están explotando una función OAuth no documentada de Google para “revivir” cookies de autenticación caducadas, lo que permite el secuestro persistente de cuentas incluso después de que el usuario cambie su contraseña. Los comentaristas sostienen que esto revela un problema más profundo en la gestión de sesiones de larga duración y la revocación de tokens por parte de Google, creando una brecha entre lo que los usuarios esperan (“cambiar la contraseña para expulsar al atacante”) y el comportamiento real de seguridad. El hilo también destaca una inquietud más amplia sobre la dependencia excesiva de las cuentas de Google —para Gmail, Workspace y servicios en la nube— dada la dificultad de los procesos de recuperación, los bloqueos de cuenta y el control limitado del usuario sobre la duración de las sesiones.
Problema central: sesiones “zombi” de Google mediante OAuth
- Supuestamente, el malware puede usar un endpoint OAuth2 no documentado de Google y el comportamiento de una extensión de Chrome para “revivir” cookies de autenticación de Google caducadas y secuestrar cuentas.
- Preocupación clave: las cookies de sesión siguen siendo válidas incluso después de cambiar la contraseña, lo que socava el consejo habitual de “cambia tu contraseña” tras un compromiso.
- Algunos señalan que el atacante aún necesita robar las cookies locales (por ejemplo, mediante malware en Chrome/Windows; potencialmente también en Mac/Android).
Cambio de contraseña, invalidación de sesiones y “teatro de seguridad”
- Varios comentaristas sostienen que es un fallo de seguridad fundamental si la rotación de contraseñas no invalida las sesiones, comparándolo con un certificado TLS o una clave privada no revocados reutilizados.
- Otros responden que, en sistemas complejos de SSO/OAuth, terminar todas las sesiones es difícil; revocar tokens de portador en muchos servicios es un problema “eventualmente consistente” / de bucle abierto.
- Mejor práctica sugerida: como mínimo, preguntar a los usuarios durante el cambio de contraseña si quieren cerrar sesión en todos los demás dispositivos.
Sesiones que no caducan: comodidad frente a riesgo
- Algunos usuarios prefieren sesiones de larga duración o que no caduquen y consideran que los almacenes de cookies del navegador están suficientemente protegidos; argumentan que, si las cookies son robadas, la duración importa poco.
- Otros replican que:
- Las sesiones del lado del servidor no deberían durar más que las cookies del cliente.
- Los cambios de contraseña, cierres de sesión y desactivaciones de cuenta deberían matar de forma fiable las sesiones antiguas.
- Las sesiones de larga duración son especialmente peligrosas para objetivos de alto valor (bancos, consolas en la nube, exempleados).
Bloqueos de cuentas de Google, recuperación y confianza
- Varias anécdotas describen dificultades para recuperar el acceso pese a conocer las contraseñas, tener correo/teléfono de recuperación, códigos o sesiones activas; los procesos se describen como opacos y cambiantes.
- Algunos dicen que los códigos de respaldo y Advanced Protection / cuentas pagadas de Workspace funcionan de forma más fiable; otros informan que incluso cuentas de pago pueden chocar con muros de “no podemos verificar que eres tú”.
- Los usuarios describen estrategias: mantener dispositivos antiguos con sesión iniciada, imprimir códigos de respaldo, usar sus propios dominios, diversificar proveedores o abandonar Google por completo.
Controles y opciones
- Hay desacuerdo sobre el comportamiento actual: algunos afirman que cambiar la contraseña de Google cierra todas las sesiones; otros dicen que las sesiones antiguas persisten a menos que se revoquen manualmente desde el portal de seguridad.
- Los administradores de Workspace pueden imponer políticas de duración de sesión; los usuarios habituales de Gmail supuestamente no tienen ese control configurable.
Escepticismo y detalles faltantes
- Algunos dudan de la gravedad del exploit debido a la escasez de detalles técnicos en el informe inicial, mientras que otros enlazan análisis más detallados y reportes previos de bugs sobre sesiones de Google que no caducan.
- Un comentarista sugiere que Google podría mantener las sesiones intencionadamente para rastreo; otros descartan esto por innecesario y piden pruebas.