Cuidado con los «verificados» de Gmail

Hace ahora un mes, lo recordarás, te contamos que Google estaba implantando en Gmail un sistema de verificación que emplea, como distintivo, el ya muy popularizado «check azul» que llevamos viendo años en otros servicios y que, de un tiempo a esta parte, se han convertido en una herramienta más de monetización. El ejemplo más evidente de ello es, claro, Twitter, pero no debemos olvidar que, a su sombra, Meta ha procedido de igual modo con Facebook y con Instagram.

Desgraciadamente, como ya hemos comprobado en el pasado, los sistemas de verificación basados en el pago pueden ser tremendamente poco fiables, pero en el caso de Twitter eso no ha sido suficiente para que sus responsables mantuvieran los antiguos, aquellos sí, fiables verificados. Así, como primera consecuencia de la monetización en base a estos elementos, debemos tener en cuenta si los servicios cobran o no cobran por el mismo, de cara a conceder más o menos fiabilidad tanto a su identidad como, por lo tanto, a sus contenidos. Y es que si de verificar o no una cuenta depende que ésta genere ingresos, ya podemos imaginar qué elemento es el que más peso tiene en la ecuación.

Ahora bien, cuando el verificado es concedido en base a un sistema de validación de las cuentas, en el que no interviene el tema económico, esto ya nos ofrece una cierta garantía que no tenemos en el otro tipo de casos. Dicho de otra manera, si el verificado no es de pago, gana muchos puntos en credibilidad, y este es el modelo empleado por Google en la implantación del check azul en Gmail, que al menos en su primera fase se circunscribe exclusivamente a empresas y entidades, con el fin de combatir el tan temible y presente phishing.

There is most certainly a bug in Gmail being exploited by scammers to pull this off, so I submitted a bug which @google lazily closed as “won’t fix – intended behavior”. How is a scammer impersonating @UPS in such a convincing way “intended”. pic.twitter.com/soMq7KraHm

— plum (@chrisplummer) June 1, 2023

Sin embargo, y aunque la intención es buena, parece que la implementación de este sistema tiene algún problema. Según ha detectado y comunicado el ingeniero de ciberseguridad Chris Plummer en su cuenta de Twitter, un bug en Gmail permite que se identifique como verificada una cuenta falsa. En el ejemplo que publica en su mensaje, podemos ver como una dirección de correo que nada tiene que ver con el servicio de mensajería y paquetería UPS fue identificado como legítimo.

En primera instancia, tras comunicar este problema a Google, la compañía respondió que ese problema se encontraba en el escenario contemplado como uso normal del servicio y que, por lo tanto, no se iba a solucionar. Sin embargo, después de que Plummer ejerciera cierta presión, los responsables de seguridad de Gmail reconsideraron su postura inicial y comunicaron que habían malinterpretado el mensaje original, pues en realidad esto sí que es un problema de seguridad bastante serio.

Así, a día de hoy sabemos que este problema cuenta con la máxima prioridad para los equipos de ingeniería de Google y, por lo tanto, podemos confiar en que será resuelto en un plazo razonable. Mientras tanto, eso sí, si recibes un correo en tu cuenta de Gmail y éste incluye el símbolo de verificado, ten en cuenta este problema a la hora de valorar su credibilidad… es decir, que no confíes en el check azul y que, por lo tanto, procedas como lo harías con un correo electrónico que no cuenta con dicha verificación.