Criminales ya tienen acceso total a su cuenta bancaria: nueva amenaza les permite llevarse todo su dinero

Esta nueva amenaza representa un serio riesgo para la seguridad y las finanzas de las personas, teniendo en cuenta que millones de usuarios tienen vinculada a su cuenta de Google (que es la misma de Gmail) las claves de acceso a sus cuentas bancarias, redes sociales, billeteras digitales, Netflix y otros servicios.

Pero para aclarar qué es Astaroth, RCN Radio consultó a Martina López, especialista en seguridad informática de ESET Latinoamérica quien ofreció una explicación sobre los alcances de esta ciberamenaza.

Más sobre estafas:

• La estafa del captcha: así vacían su cuenta bancaria con un simple clic en 'No soy un robot'
• Nunca descargue esta foto en WhatsApp: nueva estafa lo deja sin cuenta y sin dispositivo
• Justo para la quincena: App falsa de Nequi está dejando sin plata a las personas, así funciona la estafa

¿Qué es Astaroth y por qué preocupa tanto a los expertos?

López explicó que a diferencia de otros troyanos bancarios, Astaroth no opera mediante la descarga de un archivo ejecutable para infectar un dispositivo. Se esconde dentro de procesos legítimos del sistema operativo, lo que le permite camuflarse y operar sin ser detectado por los antivirus tradicionales.

“Esta amenaza es sigilosa, persistente y difícil de detectar. Utiliza técnicas avanzadas para no levantar sospechas”, explicó Martina López, especialista en seguridad informática de ESET Latinoamérica.

Este código malicioso, en esencia, actúa como un espía invisible capaz de capturar contraseñas bancarias, claves de Gmail y más, incluso si están protegidas por mecanismos de autenticación robustos.

Debe saber: Organice sus cuentas pronto: App Mi Bancolombia no funcionará por un tiempo

¿Puede robar robar cuentas bancarias, pedirles de WhatsApp o un usuario de Gmail?

Astaroth combina técnicas de ingeniería social con métodos sofisticados como el proxy inverso. Esto significa que cuando una víctima hace clic en un link malicioso, es redirigida a un sitio web que parece legítimo (como el de Google o su banco), pero que en realidad es una copia controlada por los atacantes.

En ese sitio falso, el usuario introduce su contraseña y el código del doble factor. Astaroth opera como un intermediario que captura toda esa información y la reenvía al sitio real, otorgando a los criminales el acceso completo a una cuenta y sin levantar sospechas por parte de la victima.

Pero eso no es todo. Como esta táctica también permite capturar también las cookies de sesión, los delincuentes pueden mantener el acceso a la cuenta aunque la víctima cierre sesión.

Así las cosas, este malware (programa malicioso) sí representa es una amenaza real para millones de personas en el mundo que usan los servicios de Google. Pero también es una peligrosa que permite otro tipo de estafas.    

¿Esta amenaza puede saquear cuentas bancarias?

Martina López aseguró que este programa sí que Astaroth sí puede ser usado para robar cuentas bancarias que solo están protegidas por contraseña. Con esta herramienta los criminales pueden registrar las pulsaciones del teclado o extraer contraseñas guardadas en el dispositivo. 

Y si la cuenta está protegida por 2FA, puede suplantar el sitio web para capturar el código para luego tomar el control total de la cuenta en tiempo real.

Esto aplica tanto para plataformas bancarias como para aplicaciones de mensajería como WhatsApp o servicios de suscripción.

¿Cómo protegerse mejor? Consejos para blindar sus cuentas

Aunque Astaroth ha dejado en evidencia que la autenticación de doble factor (2FA) no es infalible, la verificación en dos pasos sigue siendo una herramienta clave para proteger cuentas bancarias, de WhatsApp o Gmail, pero la clave está en cómo se implementa.

Siempre que sea posible, se recomienda usar llaves de seguridad físicas o seguridad biométricos, ya que son más difíciles de interceptar. En caso de usar códigos OTP por SMS o aplicaciones, es fundamental ingresar ese código directamente en el sitio o app oficial, y no a través de ventanas emergentes o enlaces sospechosos.

Vea también: La pregunta clave que salvará su cuenta bancaria de las estafas telefónicas con voces clonadas

Cómo usar las funciones de seguridad de Google para proteger una cuenta

Google ofrece herramientas avanzadas para proteger las cuentas asociadas a sus servicios, como Gmail, Google Drive o YouTube. A continuación, se comparten algunas sugerencias para usar funciones clave que pueden activarse fácilmente:

Revisión de seguridad personalizada

El usuario puede tener un diagnóstico completo del estado de la cuenta, incluyendo dispositivos vinculados, aplicaciones de terceros y eventos sospechosos. 

Activar la verificación en dos pasos

Google permite configurar 2FA mediante notificaciones en el celular, códigos de Google Authenticator o una llave de seguridad física compatible con FIDO. Esta última es la opción más segura.

Alertas en tiempo real de accesos sospechosos

Si un dispositivo no reconocido intenta acceder a la cuenta, Google envía una alerta inmediata. Es fundamental revisarlas y tomar acción de inmediato.

Cerrar sesiones activas desde otros dispositivos

Desde el panel de seguridad, se pueden cerrar sesiones abiertas en computadores o teléfonos que ya no se usan. Esto evita accesos no autorizados.

Activar y revisar periódicamente estas funciones puede ayudar a reducir al mínimo el impacto de amenazas como Astaroth, y evitar que los atacantes mantengan acceso prolongado a las cuentas.

Passkeys: una opción más segura que las contraseñas tradicionales

Google ha integrado el uso de passkeys, una tecnología que utiliza un sistema criptográfico para evitar el uso de contraseñas tradicionales. Estas claves pueden activarse en dispositivos protegidos por PIN o biometría, y se sincronizan automáticamente con la cuenta de Google.

Para usarlas correctamente, se recomienda:

• Activarlas solo en dispositivos personales y protegidos (con PIN o huella digital).
• Sincronizarlas con un gestor de contraseñas confiable o con el ecosistema de Google o Apple.
• Estar atentos a sitios web falsos que intentan imitar apps oficiales para capturar estas claves.
• Aunque parezcan complejas, las passkeys están diseñadas para ser más seguras y fáciles de usar, siempre que se activen en entornos confiables.