Qué hace esta herramienta
Google Workspace registra cada inicio de sesión, consentimiento OAuth, entrega de Gmail, acción de Drive y cambio de administración. Tras un correo de phishing, esos registros responden a la única pregunta que importa: ¿entró alguien y qué hizo?
Suelte las exportaciones de la consola de administración (o de la API Reports / GAM) y el analizador aplica reglas de detección a todas ellas: relaciona un inicio de sesión de riesgo con lo que vino después (reenvío a una dirección externa, filtros que ocultan facturas, una aplicación de terceros que lee el correo, descargas masivas, cambios de administración) y ofrece un veredicto global, las pruebas, una cronología y los pasos de remediación.
Qué detecta
- Inicios de sesión: eventos de Google de inicio sospechoso y contraseña filtrada, inicios desde redes de hosting / VPS (phishing adversary-in-the-middle), países nuevos, viajes imposibles, ráfagas de fallos, verificación en dos pasos desactivada, correo o teléfono de recuperación modificado.
- Correo: reenvíos a direcciones externas, filtros de Gmail que reenvían u ocultan correos de facturas / pagos, delegados y alias de envío, mensajes reenviados automáticamente, correo financiero enviado a la papelera en masa, correos salientes de «nuevos datos bancarios».
- OAuth: aplicaciones de terceros con permisos de Gmail, Drive o administración (consentimiento ilícito), aplicaciones que leen el correo en volumen, delegación de todo el dominio y aprobación de aplicaciones.
- Drive: descargas masivas, ráfagas de uso compartido externo, enlaces públicos, transferencias de propiedad, exportaciones de Google Takeout.
- Administración: nuevos superadministradores y roles, cambios de SSO / SAML, restablecimientos de contraseña por un administrador, usuarios nuevos, enrutamiento del correo y supervisión de correo.
- Cada hallazgo indica sus técnicas MITRE ATT&CK. Las reglas son JSON (crates/gws-wasm/rules/rules.json en el código fuente), por lo que pueden revisarse y reutilizarse.
Limitaciones
- El veredicto solo vale lo que valen los registros aportados: un resultado limpio solo con el registro de inicios de sesión no dice nada de Drive ni de OAuth. La herramienta enumera las fuentes que faltan.
- Las detecciones son heurísticas. Los viajes, las VPN y las aplicaciones legítimas generan falsos positivos; un atacante cuidadoso puede quedarse por debajo de los umbrales.
- Las exportaciones CSV de la consola dependen de las columnas elegidas y del idioma de la consola: se admiten nombres de columnas y de eventos en inglés; el JSON de la API Reports es la entrada más completa.
- El país y el ASN proceden de la información de red de Google: sin ellos (algunas exportaciones CSV) no pueden ejecutarse las comprobaciones de país nuevo y viaje imposible.
- El contenido de los mensajes, las exportaciones de Vault y las acciones de la herramienta de investigación de seguridad (eliminar correos) quedan fuera del alcance.
Preguntas frecuentes
¿Se suben mis registros a algún sitio?
No. El analizador está escrito en Rust, compilado a WebAssembly y se ejecuta en un Web Worker de su navegador. Los archivos se leen por bloques desde su disco; no hay ningún punto de subida ni cuenta.
¿Cómo saber si una cuenta de Google Workspace se ha comprometido?
Busque un inicio de sesión que no encaje (red de hosting, país nuevo, viaje imposible) seguido de persistencia: reenvío a una dirección externa, un filtro que oculta correos de facturas o pagos, una nueva aplicación de terceros con acceso a Gmail o la verificación en dos pasos desactivada. Esta herramienta comprueba esos patrones y los relaciona por cuenta.
¿Cómo encontrar una regla de reenvío de Gmail creada por un atacante?
El registro de usuario anota «Out of domain email forwarding enabled» con el destino; el registro de Gmail muestra los mensajes reenviados automáticamente. Los filtros en sí solo se ven en la configuración de Gmail del usuario: expórtelos con la API de Gmail o GAM y suéltelos aquí.
¿Qué es una aplicación OAuth sospechosa en Google Workspace?
Una aplicación autorizada por un usuario que puede leer o enviar su correo (https://mail.google.com/, gmail.readonly, gmail.settings…) o acceder a todo Drive, sobre todo justo después de un inicio de sesión de riesgo o con un nombre señuelo como «PDF viewer». Su token sigue funcionando tras cambiar la contraseña hasta que se revoca.
¿Por qué un atacante puede saltarse la verificación en dos pasos?
Los kits de phishing adversary-in-the-middle retransmiten la página real de inicio de sesión de Google: la víctima escribe la contraseña y aprueba el aviso, y el kit se queda con la sesión. El inicio de sesión aparece entonces desde el servidor del kit (normalmente un proveedor de hosting), lo que esta herramienta señala.
El veredicto dice comprometido. ¿Y ahora qué?
Siga la pestaña de remediación en orden: contenga la cuenta (cierre de sesiones), revoque los tokens de aplicaciones, elimine reenvíos y filtros, restablezca la contraseña, avise a los proveedores o clientes que recibieron mensajes fraudulentos y detenga los pagos pendientes. Después, busque apoyo en respuesta a incidentes para determinar a qué se accedió.
¿Está esta herramienta afiliada a Google?
No. Es una herramienta independiente que lee los formatos de exportación que documenta Google. Google Workspace y Gmail son marcas comerciales de Google LLC.