1. La noticia (en claro)
No es el phishing de siempre (un enlace feo y un logo mal calcado). Aquí el correo sí sale de los servidores de Google. Por eso los filtros habituales no te avisan.
Según Proton, el esquema va así:
Puede llegar un segundo aviso de seguridad auténtico —a veces una copia de una alerta enviada a la cuenta del estafador—. En un vistazo rápido parece que «te han metido mano». Leído con calma, el asunto o el pie aclara a quién va dirigida.
Mezclan algo genuino (el correo de Google) con algo falso (la llamada). El cerebro baja la guardia.
Detalle útil. El primer correo suele incluir «Remove email» / quitar tu dirección de esa cuenta. Es la salida legítima. En el caso de Proton, al colgar, el estafador retiró la petición y borró el rastro. No hace falta panico: sí hace falta no seguir el guion del teléfono.
2. En qué te afecta
Si caes, el objetivo suele ser acceso a tu cuenta (códigos, «verificación», pasos que te dictan). Con Gmail abierto, el daño se multiplica: restablecer otras cuentas, Drive, años de correo, o usarte para estafar a contactos.
Lo jodido de esta variante: las señales clásicas de phishing (remitente raro, logo pixelado) no fallan. El email es de Google. La trampa es la urgencia + la voz al otro lado.
Regla corta. Correo de Google sobre recuperación que no pediste → ignóralo o usa «quitar email» en la propia página de Google. Si alguien te llama mencionándolo → cuelga y comprueba tú la cuenta en el navegador.
💬 Cómo lo veo yo
No hace falta ser paranoico. Hace falta no mezclar el correo real con la voz desconocida. Cinco segundos leyendo «quién quiere usar tu email» evitan semanas recuperando cuentas.
Y sí: mientras Gmail sea la llave de media vida digital, el coste de un fallo sube. Por eso en Privut empujamos correo con menos dependencia… y hábitos aburridos (2FA, gestor).
3. Qué puedes hacer (hoy)
Plan de 15 minutos
- Si te llega el correo y no lo pediste. No confirmes nada por teléfono. En el propio mensaje, quita tu dirección de esa cuenta si Google lo ofrece. Luego cuelga si te llaman.
- Comprueba tú la cuenta. Abre el navegador (sin links del mail), ve a gmail.com → Gestionar tu cuenta de Google → Seguridad. Actividad reciente, dispositivos, formas de verificar que eres tú.
- 2FA en serio. Misma sección → Verificación en dos pasos. Mejor app de autenticación o llave física que SMS. No te salva de la llamada mentirosa, pero dificulta entrar aunque tengan la contraseña. Si quieres ir más allá: gestor + hábitos de acceso.
- Limpia recuperación. En Seguridad, revisa emails y móviles de recuperación. Borra lo que no reconozcas.
«Google no me llama. Si el correo dice que alguien quiere usar mi dirección como recuperación y yo no lo pedí, no confirmo nada por teléfono.»
Si quieres ir un paso más allá
Fuente. Relato y despiece de la estafa: Proton — Scammers are weaponizing Google Account recovery emails. Ellos venden correo; el mecanismo (mail real + llamada) es el dato útil.
Esta estafa funciona porque es creíble: email oficial + urgencia + voz profesional. La urgencia es la trampa.
Ninguna empresa seria te llama para que hagas algo «ya» con tu cuenta y te pida códigos. Si el correo de recuperación no lo has pedido, no tienes que hacer casi nada… salvo no seguir el guion del teléfono.
¿Gmail sigue siendo el centro de tu vida digital?
Menos dependencia del mismo buzón = menos daño si un día falla el hábito o la estafa.
Ver alternativas a Gmail →Preguntas frecuentes
¿Google me llama de verdad?
No para este tipo de «soporte de seguridad» improvisado. Si hay un problema, compruébalo tú en la web de tu cuenta, sin seguir instrucciones de una llamada no solicitada.
Recibí el correo de «quieren usar mi email como recuperación». ¿Me han hackeado?
No necesariamente. Suele significar que alguien (a menudo un estafador) quiere vincular tu dirección a su cuenta. No confirmes códigos por teléfono. Quita tu email de esa cuenta si Google lo ofrece e ignora la llamada.
¿El 2FA me protege de esta estafa?
Ayuda mucho si intentan entrar con contraseña. No sustituye el sentido común ante una llamada: no dictes códigos del autenticador a nadie.
¿Debo cambiar de correo por esto?
No es obligatorio mañana. Sí es sensato no concentrar banco, trabajo y redes solo en Gmail. La comparativa de alternativas está enlazada arriba.
¿Qué hago si ya di un código por teléfono?
Entra ya en la cuenta de Google (navegador, tú solo), cambia contraseña, revisa dispositivos y recuperación, cierra sesiones dudosas y activa o revisa el 2FA. Avisa a contactos si temes que usen tu identidad. Si hay daño económico, denuncia y contacta con los servicios afectados.