LO QUE NADIE TE EXPLICA
El aviso me llega mientras tiendo la ropa: «Nuevo inicio de sesión en tu cuenta de Google». Un ordenador con Windows, en una ciudad donde no he estado nunca.
Diez minutos después llega otro: «Se ha cambiado la contraseña de tu cuenta». Intento entrar en Gmail y no puedo. Mis correos, las fotos del móvil de los últimos años, los documentos del trabajo. Todo está ahí dentro y ya no es mío.
Lo peor llega cuando intento entender cómo ha pasado. Yo miro siempre la dirección antes de escribir una contraseña. Y la miré. Ponía accounts.google.com, con su candado.
Dos días antes había entrado en una web que regalaba un mes gratis de una herramienta de IA de pago. Quedaban 312 plazas y el contador bajaba mientras leía. El botón de Apple decía «no disponible en este momento», así que le di a «Continuar con Google». Se abrió la ventanita de siempre. Escribí mi correo, mi contraseña y el código que me llegó al móvil.
Esa ventanita la había dibujado la propia página, con su barra de dirección y su candado incluidos.
QUÉ PASÓ
El 23 de septiembre de 2026, la empresa de seguridad Malwarebytes publicó el análisis de una web que imitaba a Claude, el asistente de IA de Anthropic. Decía que regalaba 10.000 suscripciones de un mes a Claude Max, su plan más caro. El contador de plazas lo generaba tu propio navegador y volvía a empezar cada vez que recargabas la página.
El 6 de octubre de 2026, otra empresa de seguridad, Island, publicó una campaña con el mismo truco. Esta vez eran falsas herramientas para anunciantes con los nombres de ChatGPT, Gemini, Claude, Perplexity, Manus y Muse, el asistente de Meta.
En los dos casos el camino es parecido:
Llegas a una web que copia el logo, los colores y hasta las reseñas de un servicio conocido.
Te ofrece algo que te apetece ahora mismo: un mes gratis, sin tarjeta, o una herramienta nueva.
Solo funciona un botón: «Continuar con Google» o «Conectar».
Se abre una ventana con el logo de Google, accounts.google.com en la barra y un candado. Todo forma parte de la página falsa.
Lo que escribes ahí, la contraseña y en algunos casos el código del móvil, va directo a quienes montaron la web.
La técnica se llama browser-in-the-browser (un navegador dibujado dentro del navegador) y se conoce desde 2022. Lo nuevo es la rapidez: Meta presentó Muse el 8 de septiembre y el 17 ya había una web falsa con su nombre.
POR QUÉ TE IMPORTA
«Continuar con Google» lo usamos para casi todo: apps, tiendas, la herramienta de IA que has probado esta semana. Ahorra tiempo y por eso lo pulsamos sin pensar.
Tu cuenta de Google da acceso a tu correo, tus fotos y tus documentos, y a todas las webs en las que entras con ella. Con tu correo, además, se puede pedir el cambio de contraseña de casi todo lo demás. Y el doble factor no te protege si escribes tú el código en la ventana falsa.
9 días
entre la presentación de Muse y la primera web falsa con su nombre
200
correos distintos introducidos en una sola de esas webs en un mes (Island)
2022
año en que se describió la técnica por primera vez
Esta ventana tiene un fallo que puedes comprobar antes de escribir nada.
QUÉ HACER HOY
En el ordenador: intenta sacar la ventana del navegador
1 Antes de escribir nada, agarra la ventana por la parte de arriba y arrástrala fuera del navegador.
2 Una ventana de verdad sale y se mueve por toda la pantalla. La falsa puede moverse un poco, pero se queda atrapada dentro de la página o se corta en el borde.
3 Mira también la barra de direcciones de tu navegador, la de arriba del todo. Lo que ponga dentro de la ventanita no cuenta.
En el móvil: no inicies sesión desde una oferta que te ha llegado
1 En el móvil la prueba de arrastrar no sirve, y estas webs imitan también la barra de Safari y de Chrome.
2 Si te interesa la oferta, cierra la página y abre tú la app oficial o escribe la dirección del servicio.
3 Si de verdad existe, la encontrarás ahí.
No hagas esto
• Iniciar sesión desde un sorteo o un regalo que te ha llegado.
• Fiarte del candado o de la dirección que aparece dentro de la ventanita.
• Pensar que con el doble factor ya estás a salvo.
Haz esto
• Intentar sacar la ventana fuera del navegador antes de escribir.
• Desconfiar cuando solo funciona un botón para entrar.
• Entrar tú en la web o la app oficial.
Ojo: cerrar la pestaña no deshace nada. Si ya escribiste tu contraseña en una ventana así, cámbiala ahora desde la app de Google o escribiendo tú la dirección, y revisa qué dispositivos tienen tu cuenta abierta.
Para revisar tus dispositivos, entra escribiendo tú la dirección y busca el apartado Seguridad: myaccount.google.com
Si ya has caído, en la edición de la semana pasada tienes los pasos según lo que hiciste: «He hecho clic en un enlace sospechoso. ¿Y ahora qué?», en el archivo de la newsletter.
Para mandar a tu familia por WhatsApp: si una web te regala algo y solo te deja entrar con Google, desconfía. En el ordenador, intenta sacar la ventana de Google fuera del navegador antes de escribir. Si no sale, es falsa. En el móvil, abre tú la app oficial.
¿Te has encontrado alguna oferta así? Responde a este correo y cuéntamelo. Lo leo todo.
¿Conoces a alguien que se apunta a todas las pruebas gratis? Reenvíale este correo.
Gratis · Sin spam · Te vas cuando quieras