Ciberseguridad

En lo que ya se considera una de las campañas de robo de datos financieros más amplias de los últimos años, investigadores en ciberseguridad han destapado una sofisticada operación de Phishing-as-a-Service (PhaaS) conocida como Darcula, responsable del robo de más de 884.000 datos de tarjeta de crédito a través de una red que generó 13 millones de clics en enlaces maliciosos a nivel mundial.

La magnitud del fraude no solo se refleja en el número de víctimas, sino también en el modelo operativo que lo sustenta: una infraestructura profesionalizada, con servidores repartidos en múltiples países, falsificaciones altamente creíbles de sitios web bancarios y mecanismos de elusión de seguridad que desafían a los sistemas de defensa tradicionales.

La campaña de robo, donde la tarjeta de crédito es víctima de phishing, esta activa desde finales de 2024, y ha afectado a usuarios de al menos 32 países, con especial incidencia en Europa y Norteamérica. La estimación de pérdidas económicas ronda los 150 millones de dólares, tomando como referencia los precios actuales de los datos financieros robados en mercados delictivos de la dark web.

El nivel de sofisticación de Darcula ha sorprendido incluso a los analistas más veteranos del sector. A diferencia de los ataques tradicionales, se trata de un servicio por suscripción, que ofrece a ciberdelincuentes con poca o ninguna experiencia técnica las herramientas necesarias para llevar a cabo campañas altamente efectivas.

Phishing a medida: ingeniería social y realismo técnico

Uno de los puntos más llamativos de Darcula es su capacidad para replicar con precisión sitios web de bancos, plataformas de pago y comercios electrónicos, incluyendo certificados SSL válidos y nombres de dominio similares a los reales. Estas páginas falsas son servidas a las víctimas a través de múltiples canales: correo electrónico, SMS, redes sociales y anuncios maliciosos.

Los mensajes suelen alertar sobre problemas con cuentas o transacciones, induciendo al usuario a acceder rápidamente a los sitios falsificados. Una vez dentro, el diseño familiar y los sellos de seguridad aparentes generan una falsa sensación de confianza, que lleva a las personas a ingresar datos sensibles como número de tarjeta, fecha de vencimiento, CVV y nombre del titular.

Bypass al doble factor: el ataque en tiempo real

Un rasgo especialmente preocupante de esta campaña es su capacidad para sortear sistemas de autenticación multifactor (2FA). Darcula emplea técnicas de interceptación de sesiones en tiempo real, capturando y reenviando los códigos de verificación antes de que expiren, lo que permite completar transacciones fraudulentas sin levantar alertas inmediatas.

Esta capacidad sitúa a Darcula por encima de muchas campañas de phishing previas, donde el 2FA aún ofrecía una barrera de protección eficaz.

La infraestructura detrás del ataque

El equipo de ciberseguridad de Mnemonic logró identificar la operación en febrero de 2025, tras detectar un patrón común en los reportes de fraude emitidos por varias entidades financieras. El análisis técnico reveló una infraestructura distribuida, con servidores de comando y control ubicados principalmente en Europa del Este y el Sudeste Asiático.

Según explicó la Dra. Elena Vázquez, investigadora principal en Mnemonic, “lo que hace especialmente peligroso a Darcula es su arquitectura modular y su capacidad de evolución constante. Los atacantes actualizan sus técnicas con frecuencia para evadir los sistemas de detección.”

La campaña se apoya en un mecanismo avanzado de entrega de carga maliciosa por etapas. El código malicioso se oculta en scripts aparentemente inofensivos, incrustados en formularios de pago falsos.

Este script captura y cifra los datos introducidos, enviándolos a servidores intermedios (a menudo páginas legítimas comprometidas), desde donde son redirigidos a la infraestructura principal de Darcula a través de una cadena de proxies. Esta táctica complica la trazabilidad y dificulta las tareas de localización e intervención por parte de las fuerzas del orden.