OAuth consent phishing en Google Workspace
Por el equipo de QuantumSec
El consent phishing es un ataque que no roba contraseñas: roba permisos. En lugar de engañarte para que reveles tu credencial, te engaña para que autorices una aplicación maliciosa que obtiene acceso a tu Gmail y tu Drive. Es uno de los vectores más efectivos contra Google Workspace porque esquiva el MFA y persiste en el tiempo.
Qué es el consent phishing
El atacante registra una aplicación OAuth y dirige a la víctima a la pantalla de consentimiento real de Google, donde se le pide autorizar permisos sobre su cuenta. Si la víctima pulsa "Permitir", la app recibe un token de acceso con los permisos (scopes) solicitados. A partir de ahí el atacante puede leer y enviar correo o acceder a los archivos sin conocer la contraseña del usuario.
Por qué el MFA no lo detiene
En un ataque de phishing clásico, el MFA puede frenar el uso de la credencial robada. En el consent phishing no hay credencial robada: el usuario se autentica de forma legítima en Google —pasando su propio MFA— y a continuación concede el permiso. El MFA no vuelve a intervenir, y el token concedido sigue siendo válido aunque el usuario cambie después la contraseña.
Anatomía del ataque
El patrón habitual es: un correo señuelo (una supuesta herramienta de productividad, un visor de documentos o una integración) con un enlace; la pantalla de consentimiento legítima de Google mostrando la app y sus permisos; el clic en "Permitir"; y la obtención de un token con scopes sobre Gmail o Drive. Como la pantalla es la real de Google, muchos usuarios no detectan el engaño: el truco está en la app, no en una web falsa.
Señales y detección
Las pistas que buscamos en una auditoría o en una respuesta a incidente: apps no verificadas por Google con permisos amplios, scopes desproporcionados para la función declarada, picos de autorizaciones de una misma app en poco tiempo y accesos a Gmail o Drive desde aplicaciones desconocidas en los registros. La herramienta de investigación de Workspace permite rastrear qué cuentas autorizaron qué apps.
Cómo proteger tu Workspace
La defensa más eficaz es pasar el acceso a las APIs a un modelo de "acceso restringido" (lista de permitidos): bloquear por defecto las apps de terceros y autorizar solo las de confianza, además de bloquear las apps no verificadas. Complementa con formación de los usuarios, alertas ante autorizaciones de apps con scopes sensibles y una revisión periódica de las apps conectadas a tu entorno.
FAQ
Si cambio la contraseña, ¿se soluciona?
No. El acceso del atacante depende del token OAuth concedido, no de la contraseña. Para cortarlo hay que revocar la autorización de la app (su token) desde la consola de administración, además de revisar reglas de reenvío y sesiones activas.
¿Cómo bloqueo este ataque a nivel de organización?
Configurando el control de acceso a las APIs en modo restringido: las apps de terceros quedan bloqueadas salvo las que apruebes en una lista de permitidos, y se bloquean las apps no verificadas. Así, aunque un empleado pulse "Permitir", la política de la organización impide el acceso.