Cuidado si utilizas Gmail: el nuevo malware que asegura poder leer tus correos incluso después de cambiar la contraseña

Cambiar la contraseña suele ser una de las primeras medidas cuando sospechamos que alguien ha entrado en nuestro correo electrónico. Pero ¿y si eso no fuera suficiente? Una nueva amenaza informática ha puesto el foco sobre Gmail por una característica que sus creadores aseguran haber desarrollado: seguir accediendo a los mensajes de una víctima incluso después de que esta haya modificado su contraseña.

El programa se llama Remus Stealer y está diseñado para robar información de ordenadores con Windows. Su última versión incorpora, según la publicidad de sus desarrolladores, una herramienta que permitiría consultar directamente los buzones de correo comprometidos desde un panel de control utilizado por los ciberdelincuentes.

La alerta ha sido investigada por la empresa de inteligencia de amenazas Hudson Rock y analizada posteriormente por Malwarebytes. No obstante, los especialistas introducen una importante advertencia: no hay pruebas independientes que confirmen que el malware pueda seguir recuperando nuevos mensajes después de que el propietario haya protegido completamente su cuenta.

Qué es Remus Stealer y cómo amenaza a los usuarios de Gmail

Remus Stealer es un programa malicioso de tipo 'infostealer', es decir, está diseñado para sustraer información almacenada en los dispositivos infectados. Sus responsables lo comercializan como un servicio para delincuentes informáticos a través de foros clandestinos.

La versión 1.3.9 ha incorporado una función que, según sus creadores, permite abrir el correo de una víctima directamente desde el panel de administración del malware. Las imágenes promocionales muestran una interfaz desde la que se pueden consultar conversaciones y mensajes.

Los responsables de Remus aseguran que su herramienta puede obtener información de la memoria del navegador sin necesidad de recopilar los archivos de cookies habituales. También afirman que permite interceptar códigos de verificación enviados por correo electrónico y compartir el acceso a los buzones comprometidos con otros operadores.

Pero la afirmación que más preocupa es otra: sus creadores sostienen que el acceso puede mantenerse incluso después de cambiar la contraseña de Gmail y cerrar las sesiones abiertas.

Por ahora, esa supuesta capacidad no ha podido verificarse mediante pruebas técnicas independientes. La investigación de Hudson Rock tampoco ha demostrado que exista una vulnerabilidad de Gmail que permita saltarse sus mecanismos de seguridad.

¿Puede alguien seguir leyendo tus correos aunque cambies la contraseña?

Esta es la principal incógnita que plantea el nuevo malware. Hudson Rock contactó tanto con el desarrollador de Remus como con una persona que aseguraba haber utilizado esta función. Esta última afirmó que había podido mantener el acceso al buzón después de cerrar el navegador, restablecer sesiones y modificar la contraseña de Google.

Sin embargo, los investigadores no pudieron comprobar de forma controlada esas afirmaciones. Tampoco disponían de información suficiente sobre las condiciones exactas de las pruebas, los permisos de la cuenta o los mecanismos que habrían permitido conservar el acceso.

Google contempla mecanismos de autorización que permiten a determinadas aplicaciones acceder a los datos de una cuenta sin solicitar continuamente la contraseña. No obstante, cambiar la contraseña suele invalidar los tokens de acceso y renovación utilizados por las aplicaciones con permisos sobre Gmail.

Por eso, los expertos insisten en que no debe confundirse la publicidad de los responsables de un malware con una capacidad demostrada. El caso de Remus sigue bajo investigación y no significa que cualquier usuario de Gmail esté expuesto a este supuesto acceso permanente.

Qué hacer si sospechas que alguien ha entrado en tu Gmail

Aunque las afirmaciones sobre Remus no estén verificadas, los especialistas recomiendan extremar las precauciones. Si un ordenador está infectado, cambiar la contraseña desde ese mismo dispositivo podría no ser suficiente.

La primera medida consiste en utilizar otro equipo limpio y de confianza para recuperar el control de la cuenta. También conviene desconectar de internet el dispositivo sospechoso y eliminar el programa malicioso antes de volver a utilizarlo para acceder a servicios personales.

Estas son algunas de las comprobaciones más importantes:

• Cambiar la contraseña y revisar los dispositivos conectados: accede a la sección de seguridad de tu cuenta de Google, comprueba los últimos accesos y cierra las sesiones que no reconozcas.
• Comprobar los métodos de recuperación: revisa que no se hayan añadido teléfonos, direcciones de correo o llaves de acceso desconocidas.
• Revisar las aplicaciones autorizadas: elimina los permisos de servicios externos que no identifiques o que ya no necesites.
• Comprobar los filtros y reenvíos de Gmail: entra en la configuración del correo y verifica que nadie haya creado reglas para enviar automáticamente tus mensajes a otra dirección.
• Analizar el ordenador: utiliza herramientas de seguridad fiables para detectar y eliminar posibles programas maliciosos. Si la infección persiste, puede ser necesario restablecer el equipo y reinstalar el sistema operativo.

Por qué proteger el correo electrónico es tan importante

Una cuenta de Gmail comprometida puede convertirse en la puerta de entrada a otros servicios digitales. En el buzón suelen recibirse enlaces para recuperar contraseñas, códigos de verificación, comunicaciones bancarias y datos personales.

Por eso, la seguridad del correo no depende únicamente de tener una contraseña difícil de adivinar. También es fundamental mantener actualizado el sistema operativo, evitar programas descargados de páginas no oficiales y revisar periódicamente los dispositivos y aplicaciones que tienen acceso a nuestra cuenta.