Remus, el malware que dice poder leer Gmail aunque cambies la clave

Un programa malicioso llamado Remus Stealer ha encendido las alertas en el ámbito de la ciberseguridad por una capacidad que sus desarrolladores aseguran haber conseguido: seguir leyendo los correos de Gmail incluso después de que el usuario cambie su contraseña y cierre las sesiones abiertas. La función, anunciada en la versión 1.3.9 del malware, permitiría a los delincuentes consultar mensajes privados y obtener códigos de verificación sin necesidad de volver a introducir las credenciales de la víctima.

La amenaza resulta especialmente preocupante porque cuestiona una de las medidas habituales para recuperar una cuenta comprometida. Sin embargo, hay una distinción fundamental: todavía no se ha demostrado que Remus pueda mantener ese acceso después de que una cuenta haya sido protegida correctamente. La empresa de ciberseguridad Hudson Rock ha investigado las afirmaciones de los responsables del programa, pero las pruebas disponibles no permiten confirmar semejante capacidad. Tampoco acreditan que exista una vulnerabilidad desconocida en Gmail.

El caso, conocido esta semana de noviembre de 2026, plantea un problema más amplio que el funcionamiento de un malware concreto. Las contraseñas siguen siendo importantes, pero no son el único elemento que protege una cuenta de correo. Las sesiones abiertas, las aplicaciones autorizadas y la seguridad del dispositivo desde el que se accede también pueden convertirse en vías de entrada para los atacantes.

Y hay un motivo para prestar atención: una cuenta de Gmail comprometida puede facilitar el acceso a muchos otros servicios, desde redes sociales y plataformas de compras hasta cuentas profesionales, porque el correo electrónico suele utilizarse para recuperar contraseñas y recibir avisos de seguridad.

Qué es Remus Stealer y cómo pretende acceder a Gmail

Remus pertenece a la categoría de los infostealers, programas maliciosos diseñados para sustraer información de los dispositivos infectados. Su objetivo puede incluir contraseñas guardadas, cookies del navegador y otros datos que permiten acceder a servicios digitales.

La novedad aparece en la versión 1.3.9 de Remus, cuyos responsables anuncian una función específica para consultar buzones de Gmail desde el panel de control utilizado por los delincuentes.

Las capturas examinadas por Hudson Rock muestran una interfaz con listas de mensajes, asuntos, remitentes y correos individuales. También aparece una opción denominada «Mail», asociada a los registros de dispositivos previamente comprometidos.

Según sus desarrolladores, esta herramienta permitiría realizar tres operaciones especialmente delicadas: consultar mensajes privados, obtener códigos de verificación recibidos por correo y compartir el acceso al buzón con otros operadores mediante enlaces.

La característica más llamativa es su supuesta persistencia. Los responsables de Remus sostienen que el acceso no desaparece al modificar la contraseña ni al revocar las sesiones de la cuenta.

En sus explicaciones a los investigadores, el desarrollador afirmó que el malware interactúa con la memoria del navegador, ejecuta determinadas operaciones y después termina su actividad. No facilitó, sin embargo, los detalles técnicos necesarios para comprobar cómo consigue ese resultado.

Conviene distinguir entre las posibilidades conocidas de los programas de robo de información y una función anunciada por quienes comercializan herramientas delictivas. No son pruebas equivalentes.

Qué han descubierto los investigadores sobre la amenaza

La investigación de Hudson Rock, publicada el 9 de noviembre de 2026, examinó el material promocional de Remus y las afirmaciones de sus responsables. La compañía contactó directamente con el desarrollador y con una persona que aseguraba haber utilizado la nueva función.

Este supuesto cliente sostuvo que podía seguir consultando el buzón después de cerrar el navegador, restablecer una sesión y cambiar la contraseña de Google.

El problema es que no existe una comprobación independiente de esa secuencia. Los investigadores no pudieron establecer qué sesiones se habían cerrado, cómo estaba configurada la cuenta ni si el acceso observado correspondía a mensajes nuevos recibidos después de completar todas las medidas de recuperación.

Tampoco se ha publicado un análisis mediante ingeniería inversa que demuestre el mecanismo anunciado.

Malwarebytes, que analizó el caso el 11 de noviembre, coincide en esta cautela. Las evidencias permiten afirmar que Remus anuncia una función para consultar correos de cuentas comprometidas. No permiten asegurar que pueda mantener indefinidamente ese acceso.

Hay otra precisión importante: no se ha demostrado la existencia de un fallo de día cero en Gmail. Un fallo de este tipo sería una vulnerabilidad desconocida o sin corregir que pudiera utilizarse para vulnerar la protección del servicio.

Hasta el momento, tampoco se ha probado que Remus pueda saltarse universalmente la autenticación en dos pasos o controlar todos los servicios asociados a una cuenta de Google.

Por qué cambiar la contraseña de Gmail sigue siendo necesario

Una contraseña nueva continúa siendo una medida esencial cuando existen sospechas de acceso no autorizado. Google dispone de mecanismos para invalidar credenciales y permisos utilizados anteriormente, incluidos los tokens de acceso de aplicaciones en las condiciones previstas por sus sistemas de seguridad.

Los tokens de autenticación son elementos digitales que permiten a una aplicación demostrar que tiene autorización para acceder a determinados recursos sin solicitar continuamente la contraseña.

Precisamente por eso resultan atractivos para determinados programas maliciosos. Si un atacante consigue apropiarse de información válida de una sesión, podría intentar aprovecharla para acceder a servicios sin conocer directamente la clave.

No obstante, cambiar la contraseña de Google normalmente invalida los tokens de acceso y actualización utilizados por aplicaciones con permisos sobre Gmail. Existen particularidades según el tipo de sesión y autorización, por lo que la recuperación debe abarcar todos los accesos asociados a la cuenta.

El robo de un token, por sí mismo, no demuestra que un delincuente pueda seguir leyendo mensajes después de un cambio de contraseña.

El peligro de mantener el ordenador infectado

El problema aparece cuando el usuario cambia sus credenciales desde un ordenador que continúa comprometido.

Si el programa malicioso sigue activo, puede volver a capturar información, observar nuevas sesiones o intentar obtener otras credenciales. En ese escenario, modificar únicamente la contraseña no elimina el origen del incidente.

Por eso los especialistas recomiendan utilizar otro dispositivo de confianza para recuperar la cuenta y desconectar de internet el equipo sospechoso hasta completar su revisión.

No se trata de que Gmail haya dejado de proteger las contraseñas, sino de que la seguridad de una cuenta también depende del ordenador, el navegador y las aplicaciones desde las que se utiliza.

Cómo detectar si alguien ha entrado en tu cuenta de Gmail

Existen varias señales de acceso no autorizado que pueden indicar que una cuenta de Google ha sido comprometida, aunque ninguna permite identificar por sí sola una infección por Remus.

Una de las comprobaciones más útiles consiste en entrar en la configuración de la cuenta de Google y abrir el apartado «Seguridad e inicio de sesión». Desde allí es posible revisar la actividad reciente relacionada con la seguridad y consultar los dispositivos que mantienen sesiones abiertas.

La presencia de un ordenador, teléfono o sesión que el propietario no reconoce merece una revisión inmediata. Google permite cerrar esos accesos y señalar la actividad sospechosa.

También conviene examinar los mensajes enviados. Encontrar correos que el usuario no recuerda haber escrito, avisos de restablecimiento de contraseñas desconocidos o modificaciones inesperadas en los datos de recuperación puede indicar que otra persona ha tenido acceso.

En Gmail hay un apartado especialmente importante: la configuración de reenvío automático y filtros.

Un delincuente que haya conseguido controlar temporalmente una cuenta puede intentar establecer reglas para enviar determinados mensajes a otra dirección. Si esos ajustes permanecen activos, cambiar la contraseña podría no resolver por completo el problema de confidencialidad.

La revisión debe incluir asimismo los permisos de aplicaciones externas, el acceso delegado al buzón, las opciones de acceso remoto y los métodos de recuperación.

Que aparezca un dispositivo desconocido no significa necesariamente que Remus esté presente. Lo relevante es identificar cualquier acceso no autorizado y corregirlo.

Qué hacer si sospechas que tu Gmail está comprometido

La primera medida es dejar de utilizar el equipo sospechoso para iniciar sesión en cuentas importantes. Si existe la posibilidad de una infección, conviene desconectarlo de internet y comenzar la recuperación desde otro dispositivo seguro.

Desde ese segundo dispositivo se debe cambiar la contraseña de Google por una nueva, larga y exclusiva. Reutilizar la misma clave en varios servicios facilita que una filtración termine afectando a distintas cuentas.

Después hay que revisar los dispositivos conectados y cerrar las sesiones desconocidas. Es aconsejable comprobar todas las sesiones asociadas a un dispositivo sospechoso, ya que un mismo equipo puede presentar más de una.

La siguiente revisión corresponde a las aplicaciones de terceros con acceso a la cuenta. Cualquier aplicación o servicio que no resulte reconocible debe investigarse y, si no está autorizado, retirarse.

En Gmail también es necesario comprobar el reenvío de mensajes, los filtros, la delegación del correo y los ajustes de acceso remoto. Las modificaciones que no haya realizado el propietario deben corregirse.

La verificación en dos pasos añade una barrera importante frente al robo de contraseñas. Siempre que sea posible, conviene utilizar métodos resistentes a la suplantación, como las llaves de seguridad o las claves de acceso (passkeys).

Estas protecciones reducen determinados riesgos, pero no sustituyen la necesidad de eliminar un programa malicioso del dispositivo.

En el ordenador afectado debe ejecutarse un análisis con software de seguridad fiable y actualizado. Cuando la infección es grave o no se puede garantizar su eliminación, restablecer el equipo y reinstalar el sistema operativo puede ser la alternativa más segura, después de preservar los archivos necesarios.

También es recomendable revisar las cuentas bancarias, comerciales y profesionales que utilizan Gmail como dirección de recuperación. Si se han recibido códigos de verificación o solicitudes de cambio de contraseña desconocidas, esos servicios podrían requerir medidas adicionales.

El riesgo de Remus no termina en la bandeja de entrada

La importancia de esta amenaza va más allá de que un tercero pueda leer conversaciones privadas. El correo electrónico funciona como un elemento central de la identidad digital: recibe facturas, documentos personales, avisos profesionales y enlaces para recuperar el acceso a otras plataformas.

Controlar un buzón puede facilitar nuevos intentos de fraude, suplantación de identidad o acceso a servicios vinculados. Es una de las razones por las que los programas de robo de información resultan tan peligrosos.

Remus introduce una afirmación especialmente inquietante en ese panorama: la posibilidad de mantener el acceso a Gmail después de que el propietario haya intentado recuperar su cuenta.

Pero la supuesta capacidad de Remus todavía no está verificada. No hay pruebas públicas suficientes para concluir que modificar la contraseña y cerrar correctamente los accesos autorizados resulte inútil frente a este programa.

La recomendación sigue siendo proteger la cuenta cuanto antes, revisar los permisos y sesiones, y asegurarse de que el dispositivo utilizado está limpio.

Una contraseña nueva es una parte fundamental de la solución. Eliminar la infección y comprobar los accesos restantes es lo que permite afrontar el problema de forma completa.