La página es de Google. La aplicación que pide leer tu correo puede no serlo
El FBI ha documentado un fraude que empieza con un archivo compartido o una invitación. La trampa aparece en una pantalla auténtica: al pulsar «Permitir», puedes dar acceso a tus datos sin revelar la contraseña.
Por qué confiar en Pulso Diario
Ilustración editorial original
Imagina que un compañero te manda un documento para que lo revises. El enlace te lleva a Google, te identificas como siempre y aparece una última pregunta: ¿autorizas a una aplicación a leer tu correo? Tú solo ibas a abrir un archivo. Esa diferencia entre lo que querías hacer y lo que te piden aprobar es la mejor pista para detectar el engaño.
Un aviso de septiembre que volvió a circular en octubre
El FBI publicó el aviso el 1 de septiembre de 2026. Describe ataques dirigidos desde finales de 2025 contra personas conocidas públicamente, sus familiares y sus contactos. En unos casos, los atacantes se hacían pasar por periodistas o funcionarios y enviaban un supuesto archivo compartido por mensajería. En otros, la excusa era confirmar la identidad del invitado a un evento.
El 20 de octubre, la cuenta @cyber_veer recuperó el aviso en Instagram. La advertencia existe, pero su fecha y su alcance importan: el FBI describe campañas dirigidas. Su comunicado no cifra el número de víctimas ni anuncia una nueva oleada en España.
Fuentes: [1] Publicación de origen: @cyber_veer, 20 de octubre de 2026 · [2] FBI / IC3: aviso I-090126-PSA, 1 de septiembre de 2026
Dos preguntas que parecen una sola
Cuando inicias sesión, Google o Microsoft comprueban quién eres. Después pueden hacerte una pregunta diferente: ¿qué le permites hacer a esta otra aplicación? OAuth es el sistema que permite delegar ese acceso. Un calendario, por ejemplo, puede pedir permiso para añadir una cita sin conocer tu contraseña.
El fraude aprovecha esa misma función. La página puede ser auténtica y la aplicación solicitante, maliciosa. Si apruebas, la aplicación recibe una credencial que le permite actuar dentro de los permisos concedidos. Poder leer un mensaje, enviar correo en tu nombre y consultar archivos son permisos distintos. Abrir el enlace no equivale, por sí solo, a haberlos concedido.
Fuentes: [2] FBI / IC3: aviso I-090126-PSA, 1 de septiembre de 2026 · [3] Microsoft Defender: detectar y corregir permisos concedidos mediante engaño
El detalle que delata el engaño
Vuelve al ejemplo del documento. Si solo esperabas leer un PDF, ¿por qué necesita una aplicación enviar mensajes desde tu buzón? Comprueba el nombre de quien pide el permiso y lee los verbos: «ver», «enviar» o «modificar» describen cosas diferentes. Si la petición no encaja con la tarea, cierra la ventana. Pregunta al supuesto remitente usando un teléfono o una conversación que ya conocías; no dependas del contacto que te facilita el propio mensaje.
Mantén activada la verificación en dos pasos. Sigue protegiéndote frente a quien intenta iniciar sesión con tu contraseña. Aquí puedes ser tú quien supere correctamente esa comprobación y, segundos después, conceda un permiso que no pretendía dar.
Fuentes: [2] FBI / IC3: aviso I-090126-PSA, 1 de septiembre de 2026 · [3] Microsoft Defender: detectar y corregir permisos concedidos mediante engaño
Qué hacer si ya pulsaste «Permitir»
En Google, entra en tu cuenta por tu ruta habitual y abre las conexiones con aplicaciones de terceros. Busca la aplicación en el apartado de acceso a tu cuenta, abre sus detalles, comprueba qué datos puede usar y selecciona «Quitar acceso». Hay una diferencia entre usar Google para identificarte en otro sitio y dar a ese sitio acceso a tus datos: revisa la vinculación correspondiente.
En una cuenta profesional o educativa de Microsoft, abre el portal Mis aplicaciones, localiza la aplicación y entra en la opción para administrarla y revocar los permisos que tú concediste. Si la autorización la otorgó un administrador o no puedes retirarla, avisa al equipo de informática. Conserva el mensaje, el nombre de la aplicación y la hora aproximada: esos datos pueden ayudar a investigar qué ocurrió.
Fuentes: [4] Google: gestionar las conexiones con aplicaciones de otros desarrolladores · [5] Microsoft: revocar permisos en el portal Mis aplicaciones · [3] Microsoft Defender: detectar y corregir permisos concedidos mediante engaño
Ilustración editorial original
Cambiar la contraseña no retira el permiso
Cambiar la contraseña puede ser necesario si también la introdujiste en una página falsa. Pero en el ataque descrito por el FBI, la aplicación obtiene autorización sin robarte esa clave. Por eso cambiarla no sustituye a retirar el permiso. Y revocar el acceso no recupera los datos que un tercero ya haya copiado.
Si hoy revisas una sola cosa, elige las aplicaciones que pueden leer o enviar correo en tu nombre. La pregunta útil para cada una es concreta: ¿qué tarea hago con ella que justifique ese acceso?
Fuentes: [2] FBI / IC3: aviso I-090126-PSA, 1 de septiembre de 2026 · [3] Microsoft Defender: detectar y corregir permisos concedidos mediante engaño · [4] Google: gestionar las conexiones con aplicaciones de otros desarrolladores
Leer el verbo antes de pulsar
Durante años hemos aprendido a mirar la dirección de una página antes de fiarnos. Es un buen hábito, pero este caso revela su límite. En una pantalla auténtica hay otra línea que merece la misma atención: la que dice quién pide permiso y para qué. Si la tarea era abrir un archivo y el permiso es enviar correo, ya tenemos una razón para parar.
Opinión de Pulso Diario · elaborada a partir de los hechos y fuentes citadosComentarios · ¿qué duda te queda?
¿Qué dato te ayudaría a entender mejor esta noticia? Comparte tu pregunta o señala un posible error con su fuente. Usaremos las dudas para orientar nuevas explicaciones, sin prometer una respuesta individual.
Los comentarios se revisan antes de publicarse. Respeta a los demás, aporta argumentos y evita publicidad o datos personales. Puedes eliminar tus propios comentarios.
Google se cargará al pulsar. Privacidad.
Has accedido con Google.
Más en Ciencia
Un estudio de 37 galaxias enanas calcula que conservan solo una pequeña parte de su oxígeno
La NASA prevé para hoy la reentrada de Swift tras casi 22 años de observaciones
ESCAPADE prepara dos sobrevuelos de la Tierra para impulsarse hacia Marte el 7 y el 9 de noviembre
La NASA consulta a la industria cómo prolongar la vida del Hubble o preparar su retirada
Dos satélites empiezan a separar dónde y cuándo cambia la conexión magnética entre el Sol y la Tierra
Videojuegos y cerebro: qué sabemos del aprendizaje y las recompensas que nos hacen volver
Una nanovacuna con más señales tumorales refuerza la respuesta defensiva en ratones
Un microscopio sigue gotas de grasa dentro de células vivas con 19,2 imágenes tridimensionales por segundo
Spora reúne imágenes de tejidos de 5.477 pacientes para comparar estudios y modelos de IA
Un meteorito de más de 4.100 millones de años abre una ventana a la corteza primitiva de Marte
Hubble y Webb muestran qué esconde el polvo de la nebulosa Cabeza de Gato
