Ciberseguridad

La campaña global de compras navideñas, uno de los momentos de mayor actividad comercial del año, vuelve a convertirse en un terreno especialmente fértil para el cibercrimen. Investigadores en ciberseguridad han detectado una operación a gran escala basada en el registro masivo de dominios de falsas tiendas online, creadas específicamente para engañar a los consumidores durante la Navidad.

Según un informe publicado por PreCrime™ Labs, la división de investigación de la empresa de inteligencia predictiva BforeAI, los atacantes han desplegado una infraestructura altamente organizada que funciona como un auténtico “servicio criminal industrializado”. El objetivo es claro: suplantar a comercios legítimos, capturar datos financieros y personales, y, en algunos casos, introducir malware a través de sistemas de pago falsificados.

Infraestructura como servicio y automatización

Uno de los aspectos más preocupantes del informe es el grado de profesionalización de la campaña. Los expertos de PreCrime™ Labs describen el ecosistema detectado como un modelo de “infraestructura como servicio” para el fraude online. Los atacantes no crean cada tienda de forma manual, sino que utilizan herramientas automatizadas de generación de sitios web para producir decenas de escaparates falsos en muy poco tiempo.

El análisis OSINT permitió identificar bibliotecas JavaScript compartidas, plantillas de pago idénticas —muchas de ellas imitando la estructura visual de Shopify— y píxeles de seguimiento reutilizados en múltiples dominios. Esta reutilización facilita la rápida puesta en marcha de nuevas tiendas cuando las anteriores son desactivadas.

Además, el uso de servicios como Cloudflare permite a los actores ocultar el origen real de los servidores, dificultando la atribución y la respuesta rápida. Aun así, técnicas de pivotado mediante herramientas como DNSlytics revelaron que los bloques de alojamiento se reciclan de forma periódica, creando nuevos clústeres cada pocas semanas para evadir las medidas de mitigación.

Tácticas de engaño adaptadas al contexto

El informe identifica varias estrategias diferenciadas empleadas para atraer y confundir a las víctimas, todas ellas diseñadas para explotar comportamientos habituales durante las compras online.

En primer lugar, destacan las campañas con una narrativa aparentemente legítima o incluso altruista. Algunos dominios, como peaceforsecurity[.]com, se presentaban como tiendas de moda de alta gama con colecciones como “Women Dresses 2025”. Esta táctica parece buscar una asociación indirecta con causas humanitarias o iniciativas corporativas reales, reduciendo las sospechas iniciales del usuario.

Otra técnica detectada es la suplantación ambigua de marcas mediante una mezcla deliberada de referencias comerciales. Un ejemplo es lululemonsalehub[.]com, que promocionaba productos sin relación con la marca original mientras utilizaba títulos de página vinculados a Shein. Esta confusión intencionada aprovecha el reconocimiento de marca y la saturación publicitaria para desorientar al consumidor.

La tercera estrategia, quizá la más extendida, se basa en la urgencia estacional. Dominios como mango-flashsale[.]com o tiendas genéricas del tipo gymclothes980[.]store utilizan ofertas agresivas, mensajes de “últimas unidades” y envíos gratuitos para forzar decisiones impulsivas. Estos sitios, normalmente construidos con plantillas básicas, tienen como objetivo principal recolectar datos personales y números de tarjetas de crédito a través de formularios de pago falsos.

Redes sociales como vector de amplificación

Aunque el informe se centra en la infraestructura de dominios, los investigadores subrayan el papel clave de las redes sociales como multiplicador del impacto. Plataformas como TikTok, Facebook o Instagram se utilizan para dirigir tráfico hacia estas falsas tiendas mediante anuncios patrocinados, perfiles falsos y enlaces acortados.

La sincronización entre el registro de dominios y las campañas publicitarias permite a los atacantes aprovechar ventanas de tiempo muy cortas antes de que los sitios sean detectados y denunciados. Este modelo de “usar y desechar” reduce el coste operativo del fraude y maximiza el retorno económico.

Tras confirmar la naturaleza maliciosa de los dominios analizados, BforeAI notificó a varios registradores, entre ellos GMO y Dynadot, para proceder a la suspensión inmediata de los sitios fraudulentos. Como resultado, varios clústeres dejaron de resolverse, limitando temporalmente el impacto de la campaña.

Sin embargo, los expertos advierten de que estas acciones son solo paliativas. La resiliencia demostrada por los operadores indica que es probable que migren rápidamente hacia nuevos dominios y extensiones de nivel superior menos reguladas, como .top, .shop o .vip, manteniendo intacto el modelo de negocio criminal.