Google alerta de que los atacantes de retailers británicos están mirando a Estados Unidos

Qué ocurrió

En mayo de 2025 Google señaló que actores vinculados a los ataques contra grandes cadenas de retail británicas, como Marks & Spencer y Co-op, estaban dirigiendo su atención hacia empresas de Estados Unidos, y destacó el uso de técnicas de ingeniería social como método principal de entrada.

Según Google, el patrón habitual consistía en suplantar a empleados legítimos ante el help desk o los servicios de soporte para conseguir restablecimientos de contraseña o registro de nuevos factores de autenticación.

Qué significa para una empresa mediana

El aviso confirma que estos grupos no se limitan a un sector ni a un país: cambian de objetivo cuando encuentran resistencia. La técnica que usan no requiere una vulnerabilidad técnica, sino convencer a una persona con capacidad para restablecer accesos.

Esto traslada buena parte de la responsabilidad de la seguridad a los procesos de soporte, internos o externos, que deben verificar la identidad de quien llama con el mismo rigor que exigirían para conceder acceso desde cero.

Qué conviene revisar

Medidas que reducen la eficacia de la ingeniería social contra el soporte:

• Procedimiento de verificación de identidad reforzado antes de restablecer contraseñas o factores de autenticación.
• Formación específica del personal de soporte sobre técnicas de suplantación conocidas.
• Doble factor resistente a phishing en los accesos administrativos y de soporte.
• Registro y revisión periódica de solicitudes de restablecimiento de acceso.

Preguntas frecuentes

¿Qué grupos están detrás de estos ataques?

Google no atribuyó públicamente los ataques a un único grupo con detalle suficiente para nombrarlo aquí; el aviso se centró en el traslado de la actividad hacia empresas estadounidenses y en el patrón de ingeniería social.

¿Por qué se habla de ingeniería social y no de un fallo técnico?

Porque el acceso se consiguió convenciendo a personal de soporte para restablecer credenciales, no explotando una vulnerabilidad de software.

¿Qué puede hacer una empresa que no es un gran retailer?

Aplicar el mismo rigor de verificación de identidad en su propio soporte, sea interno o subcontratado, e imponer doble factor resistente a phishing.