Esta madrugada, mientras dormía, me llegó un correo: «Código de verificación de Google. Hemos recibido una solicitud para acceder a tu cuenta de Google […] a través de tu dirección de correo electrónico. Tu código de verificación de Google es: […]». Pocos minutos después, otro correo: una copia de una alerta de seguridad enviada a una cuenta de Gmail que no reconozco, informando que mi dirección figuraba como correo de recuperación de esa cuenta, con un nuevo acceso desde un dispositivo Android, y un enlace: «Si no reconoces esta cuenta, quítala».
Lo primero que hice fue lo correcto por costumbre profesional: revisar el encabezado del correo antes de hacer nada. Era auténtico —enviado por los servidores reales de Google, sin señales de suplantación. Y ahí empezó lo interesante: si el correo era real, ¿cómo terminé yo vinculado como recuperación de una cuenta que no es mía, sin haber confirmado nada?
Cómo funciona realmente
La respuesta, una vez investigada, es más simple e inquietante de lo que parece: ambos mensajes eran 100% genuinos — simplemente no eran para mí.
Alguien intentó agregar mi correo (y, en otras variantes del mismo esquema, también el número de teléfono) como método de recuperación de una cuenta de Google desechable que esa persona controla. Como parte normal de ese proceso, Google envía verificación directamente al contacto propuesto —en este caso, yo— antes de que la vinculación quede confirmada. El código y la copia de la alerta no fueron falsificados: son exactamente lo que Google envía cuando alguien te propone como recuperación de una cuenta ajena.
Según documentó recientemente el equipo de seguridad de Proton, la variante más agresiva de este esquema no termina en el correo: mientras la víctima todavía tiene el mensaje a la vista, recibe una llamada de alguien que se presenta como soporte de seguridad de Google, advierte sobre un «acceso sospechoso bloqueado» y pide leer en voz alta el código recién recibido «para verificar tu identidad».
El correo y el código son reales. Lo falso es la historia que alguien te cuenta sobre por qué los recibiste.
Qué pasaría si hubiera funcionado
Ni Google ni los equipos que han documentado variantes de este esquema tienen visibilidad completa del objetivo final —en el caso que registró Proton, la víctima colgó antes de que el atacante revelara qué pedía exactamente. Pero el mecanismo general sí está bien entendido, porque es el mismo que se usa contra la verificación en dos pasos de cualquier servicio: quien recibe tu código de verificación puede completar, en tu lugar, lo que sea que ese código estaba autorizando.
En el escenario documentado, el premio inmediato no sería mi cuenta de Google —nunca estuvo en juego, el código correspondía a la cuenta desechable del propio atacante—, sino la confianza que ese primer contacto «real» genera. Haber recibido un código auténtico y una alerta auténtica de Google hace que una siguiente llamada, pidiendo verificar «tu cuenta principal» con un código distinto, suene mucho más creíble. Es la puerta de entrada a un ataque de mayor alcance: correo personal, banca móvil, WhatsApp —cualquier servicio que dependa de un código de un solo uso es, en teoría, vulnerable al mismo truco si la persona del otro lado logra que se lo leas en voz alta o lo compartas de cualquier forma.
Dicho de otro modo: ceder un código nunca es gratis, incluso cuando el mensaje que lo acompaña parece no tener nada que ver contigo.
Qué hice (y qué recomiendo)
- No interactué con nada que no fuera el propio aviso de Google. Ningún código se comparte con nadie, sin importar cuán oficial suene quien lo pide — Google nunca llama ni escribe para pedir que reenvíes un código.
- Verifiqué el encabezado del correo antes de confiar en el enlace, un hábito que recomiendo a cualquiera, no solo en este caso.
- Usé el enlace oficial «Si no reconoces esta cuenta, quítala», que lleva a
accounts.google.com/AccountDisavow— la vía que Google ofrece específicamente para desvincular tu correo de una cuenta ajena que intentó usarlo como recuperación.
Si te llega un código de verificación que no pediste, la acción correcta no es ignorarlo sin más: es completar el proceso de desvinculación que el propio Google ofrece, sin compartir el código con nadie que te contacte mientras tanto.
No sé qué buscaba exactamente quien intentó esto conmigo, y probablemente nunca lo sepa. Pero el patrón ya está documentado, y vale la pena que lo reconozcas si te pasa a ti.