Por qué el acceso a APIs no gestionadas es tu mayor punto ciego

El reciente incidente de seguridad en Vercel debe servir como una señal de alerta para los administradores de Google Workspace y de TI. Este suceso pone de relieve una vulnerabilidad que, con demasiada frecuencia, pasa desapercibida en los entornos empresariales: los permisos de OAuth de terceros sin restricciones.

Según los informes, un atacante comprometió una herramienta de productividad de IA de terceros llamada Context.ai. A partir de ahí, explotó una falla crítica de configuración dentro del entorno empresarial de Google Workspace de Vercel. Un empleado se había registrado previamente en esta herramienta de IA utilizando su cuenta corporativa y le otorgó permisos de OAuth de tipo “Permitir todo”. Debido a que los controles internos de API de Vercel permitían a los usuarios conceder estos permisos tan amplios sin supervisión administrativa, el actor de la amenaza pudo tomar el control de la cuenta de Workspace del empleado de forma fluida y desplazarse lateralmente hacia los sistemas internos.

Este incidente no fue una falla en la infraestructura subyacente de Google; fue una falla de configuración. Como administrador de Google Workspace, no puedo enfatizar esto lo suficiente: dejar los controles de sus API sin gestionar es equivalente a entregar las llaves maestras de sus datos corporativos.

La amenaza del OAuth sin restricciones

A los empleados les encantan las herramientas de productividad, especialmente la ola actual de asistentes potenciados por IA. Cuando una aplicación les muestra una pantalla solicitando “Leer, escribir, enviar y eliminar correos electrónicos” o “Ver, editar, crear y eliminar todos tus archivos de Google Drive”, los usuarios rara vez dudan antes de hacer clic en “Permitir”. Solo quieren terminar su trabajo.

Si tu entorno de Google Workspace permite que los usuarios den su consentimiento libremente a estos alcances (scopes) de OAuth con privilegios tan altos, en la práctica estás operando con un enorme punto ciego de Shadow IT. Cualquier aplicación de terceros que sea comprometida —o una aplicación maliciosa que se haga pasar por una legítima— obtiene un canal directo y autenticado hacia los datos confidenciales de tu organización. Lo que es peor, debido a que este acceso depende de tokens de OAuth, evade por completo los perímetros de seguridad tradicionales como la autenticación de múltiples factores (MFA) y el restablecimiento periódico de contraseñas.

La importancia de los controles de API

En una arquitectura moderna de Zero Trust (Confianza Cero), ya no podemos permitirnos el lujo de confiar en cada aplicación que un usuario decida instalar. Tomar el control de la configuración de sus API es la única manera de minimizar el radio de impacto de un ataque a la cadena de suministro de terceros.

Google Workspace ofrece controles de API robustos, diseñados para que los administradores puedan gobernar exactamente qué aplicaciones internas y de terceros pueden acceder a los datos de Workspace. Al gestionar activamente estos controles, usted garantiza que solo las aplicaciones verificadas, seguras y con una justificación comercial válida tengan acceso a los datos corporativos.

De la confianza implícita a la aprobación explícita

Para proteger a su organización de sufrir un destino similar al de Vercel, recomendamos encarecidamente abandonar la postura predeterminada de “permitir todo” y habilitar la función de aprobación de aplicaciones para los permisos de OAuth. Esto cambia el modelo de su entorno de una confianza implícita a una verificación administrativa explícita.

A continuación, presentamos nuestra recomendación para implementar este flujo de trabajo de aprobación:

1. Restringir el acceso a los servicios principales

En la consola de administración de Google, diríjase a Seguridad > Acceso y control de datos > Controles de API. En la sección “Gestionar el acceso de aplicaciones de terceros”, configure los servicios principales con mayor carga de datos —como Gmail, Google Drive y Calendar— como “Restringidos”. Esto establece una regla base: ninguna aplicación de terceros no verificada podrá acceder a datos confidenciales sin el consentimiento explícito del administrador.

2. Habilitar el flujo de trabajo de solicitud de usuario

La seguridad no debe detener por completo la productividad del negocio. En el mismo menú de controles de API, active la función que permite a los usuarios solicitar acceso a aplicaciones no aprobadas. De esta forma, cuando un usuario intente iniciar sesión con su cuenta de Workspace en una aplicación nueva y no verificada, no se encontrará simplemente con un camino cerrado. En su lugar, se le presentará la opción de “Solicitar acceso” a su equipo de TI, permitiéndole opcionalmente incluir una justificación comercial.

3. Triaje y revisión

Estas solicitudes de los usuarios se canalizan directamente a la consola de administración. Como administradores, podemos revisar las solicitudes pendientes, examinar detenidamente los alcances (scopes) de OAuth específicos que la aplicación solicita y verificar la credibilidad del desarrollador. Podemos hacernos preguntas críticas: ¿Realmente necesita un lector de PDF la capacidad de enviar correos electrónicos en nombre del usuario? ¿Cuenta esta herramienta de IA con una política de privacidad robusta?

4. Confiar, limitar o bloquear

Basándose en su revisión de seguridad, puede tomar medidas decisivas. Puede marcar la aplicación como Confiable (permitiendo que el usuario que la solicitó, y potencialmente otros en Unidades Organizativas específicas, la usen de forma segura), Limitada (permitiendo el acceso solo a alcances no restringidos) o explícitamente Bloqueada (evitando que la aplicación acceda a su entorno en cualquier momento).

Consideraciones finales

El incidente de Vercel —que, según los informes, se originó a partir de una simple infección por malware en un solo dispositivo, escaló a través de una herramienta de IA con excesos de privilegios y llegó directamente al entorno corporativo de Google Workspace— demuestra que nuestras superficies de ataque digitales están más interconectadas que nunca.

Ya no podemos esperar que los usuarios finales sean nuestra principal defensa contra las concesiones maliciosas de OAuth. Es nuestra responsabilidad como administradores establecer las medidas de seguridad adecuadas. Revise sus controles de API hoy mismo, implemente el flujo de trabajo de aprobación y asegúrese de que su organización no se convierta en el titular de las noticias de mañana.