Un correo real de Google puede traer una estafa dentro

En pocas palabras: puede llegarte un correo de seguridad real de Google sobre una «contraseña de aplicación». Pero el mensaje que lleva dentro, como un número de caso, lo escribió un delincuente. Nuestro consejo: no uses ningún enlace ni número de ese correo. Entra tú en myaccount.google.com.

¿Qué es esto y por qué importa?

Hay avisos de este truco desde septiembre de 2026. Así funciona:

• El delincuente crea su propia cuenta de Google.
• Pone tu correo como su «correo de recuperación» (la dirección a la que Google escribe sobre seguridad).
• Crea una «contraseña de aplicación» (una contraseña extra para apps antiguas que no usan el inicio de sesión normal) y escribe su mensaje de estafa como nombre.
• Google te envía su aviso de seguridad normal, con ese mensaje dentro.

Los delincuentes también pueden llamarte haciéndose pasar por el soporte de Google y llevarte a una página falsa de inicio de sesión. Si escribes ahí tu contraseña o un código, pueden entrar en tu cuenta real. La oficina nacional de ciberseguridad de Suiza (BACS) describe un caso en el que los delincuentes añadieron después su propia contraseña de aplicación como puerta trasera (una entrada secreta) y siguieron entrando aunque se cambió la contraseña.

Cómo reconocerlo

• El correo puede ser igual que los avisos normales, porque lo envió Google.
• El peligro es el texto que escribió el delincuente. Google dice que nunca te llamará para hablar de la seguridad de tu cuenta.

Lo que aún no sabemos

• Cuántas personas han recibido este correo.
• Si Google ha cambiado algo.

Qué hacer hoy (unos 5 minutos)

1. Nuestro consejo: no uses ningún enlace ni número de un correo de seguridad, aunque sea real.
2. Nuestro consejo: revisa tu cuenta directamente (unos 2 minutos, según nuestro cálculo). En una pestaña nueva, escribe myaccount.google.com/notifications. Si la contraseña de aplicación del correo no aparece ahí, no se creó en tu cuenta.
3. Nuestro consejo: añade una llave de acceso (unos 3 minutos, según nuestro cálculo). Una llave de acceso (passkey) te deja entrar con tu huella, tu cara o el bloqueo de pantalla (como un PIN), sin escribir la contraseña. Ve a myaccount.google.com/signinoptions/passkeys y elige Crear llave de acceso. Activa también la verificación en dos pasos (una segunda comprobación al entrar) con una app de autenticación. Así, una contraseña robada no basta.

Si ya llamaste o escribiste tu contraseña

Nuestro consejo:

1. Cambia tu contraseña de Google desde un dispositivo de confianza.
2. En google.com/devices, selecciona Cerrar sesión (o Salir) en cada dispositivo que no reconozcas.
3. En myaccount.google.com/apppasswords, selecciona Quitar en cada contraseña de aplicación que no creaste tú.
4. Comprueba que el correo y el teléfono de recuperación son tuyos.

Para denunciarlo: en un ordenador o computadora, abre el correo en Gmail. Junto a Responder, haz clic en Más y después en Denunciar phishing (phishing: mensajes trampa para robarte datos).

Ver también: Cuelga y llama tú a un número oficial

Fuentes

• Oficina Federal de Ciberseguridad de Suiza (BACS / NCSC), revisión semanal, semana 38, 22 de septiembre de 2026, «Genuine Google emails, fake support and a dangerous back door» (oficial, en inglés): bacs.admin.ch
• Ayuda de Gmail, «Evitar y denunciar los correos de phishing» (oficial): support.google.com
• Ayuda de Cuenta de Google, «Iniciar sesión con contraseñas de aplicación» (oficial): support.google.com
• Ayuda de Cuenta de Google, «Iniciar sesión con una llave de acceso en lugar de una contraseña» (oficial): support.google.com
• Ayuda de Cuenta de Google, «Configurar las opciones de recuperación» (oficial): support.google.com
• Ayuda de Cuenta de Google, «Proteger una cuenta de Google hackeada o vulnerada» (oficial): support.google.com
• Ayuda de Google, «Estafa telefónica relacionada con la seguridad de la cuenta de Google» (oficial): support.google.com

Nuestra transparencia. OjoconIA no tiene enlaces de afiliado y no gana nada con los sitios, las apps o las herramientas que se nombran en esta página. Si esto cambia alguna vez, lo diremos aquí, en esta página.

Revisado: 2 de noviembre de 2026, 11:20 (hora de España peninsular). Esta alerta cambiará si Google o la BACS publican más información.

/image