¿La cámara de tu teléfono te está vigilando? Señales de alerta y cómo proteger tu privacidad.

¿Cuántas veces miraste la cámara de tu teléfono y te preguntaste si alguien podría estar utilizándola para observarte? Desde ESET, compañía líder en detección proactiva de amenazas, advierten que no necesariamente se trata de paranoia ya que existen herramientas de acceso remoto, como el spyware, que pueden permitir a los ciberdelincuentes espiar, además de «reflejar» o visualizar la pantalla de un dispositivo y todo lo que aparece en ella. Sin embargo, conocer las señales de alerta y seguir algunas buenas prácticas puede ayudar a mantener alejados a los intrusos.

ESET comparte algunos indicadores que pueden revelar que un dispositivo está infectado: 

Comportamiento inesperado de la cámara: Que la cámara se active por sí sola, aunque algunos tipos de spyware desactivan el punto verde que indica que la cámara está en uso para ocultar su actividad, vale la pena comprobarlo. También puede pasar que no se pueda acceder a la cámara. Si otra aplicación está utilizando la cámara, es posible que se reciba un mensaje indicando que está intentando acceder a esta función.

Fotos o videos desconocidos: Si se encuentran fotos o videos almacenados en la galería que no se recuerda haber tomado o grabado, podría ser una señal de alerta de que alguien tomó el control de la cámara.

Consumo de batería y sobrecalentamiento: El spyware instalado de forma encubierta en el dispositivo puede consumir más energía de lo normal, incluso cuando no se está utilizando el teléfono. Prestar atención al consumo de batería y a un posible sobrecalentamiento del dispositivo.

Uso inusual de datos: Por lo general, los ciberdelincuentes que acceden de forma remota a un dispositivo querrán obtener las imágenes que hayan capturado con la cámara. Para hacerlo, necesitarán enviar esos datos a través de Internet y eso aumentará el consumo de datos.

Problemas de rendimiento: El malware, como el spyware, no solo puede agotar la batería del dispositivo, sino también consumir recursos del sistema. Esto puede provocar que las aplicaciones se cierren inesperadamente o que el rendimiento se vuelva más lento. En algunos casos extremos, el dispositivo puede dejar de responder.

Comportamiento inesperado del dispositivo: Otro indicador de la presencia de spyware es que el teléfono se reinicie inesperadamente o que la pantalla se encienda sin un motivo aparente. Alguien podría estar provocando estas acciones de forma remota.

Aplicaciones nuevas y desconocidas: El malware diseñado para espiar puede instalarse en el dispositivo como una aplicación que parece legítima. 

Para proteger la cámara del espionaje desde ESET comparten algunos pasos sencillos que pueden evitar problemas de seguridad y privacidad. Además, estos consejos también son útiles para prevenir el reflejo de la pantalla del teléfono:

Revisar periódicamente los permisos de las aplicaciones: Las aplicaciones que parecen solicitar permisos excesivos podrían contener malware. Por eso, vale la pena revisarlos de vez en cuando y revocar los permisos de aquellas aplicaciones que no necesiten acceso a la cámara o al micrófono para funcionar correctamente.

Instalar un software de seguridad confiable: Descargar una solución antimalware de un proveedor externo de confianza para detectar y eliminar spyware.

Mantener el dispositivo actualizado: Se recomienda actualizar periódicamente el sistema operativo del dispositivo y todas las aplicaciones instaladas para asegurarse de utilizar siempre las versiones más recientes y seguras.

Evitar las descargas de fuentes no confiables: En Europa, Apple está obligada a permitir la disponibilidad de aplicaciones de iOS en tiendas de terceros. Sin embargo, lo más recomendable es descargar aplicaciones únicamente desde las tiendas oficiales (Apple App Store y Google Play). Esto reduce las posibilidades de descargar una aplicación que parezca legítima, pero que contenga spyware.

Evitar hacer jailbreak o rootear el dispositivo: Hacerlo puede deshabilitar medidas de seguridad importantes (en el caso del iPhone), limitar las actualizaciones automáticas y exponerte a aplicaciones maliciosas disponibles en tiendas de aplicaciones de terceros.

Utilizar métodos de autenticación seguros: Asegurarse de proteger el dispositivo mediante un PIN seguro y autenticación biométrica (por ejemplo, Face ID). Proteger también las aplicaciones frente a accesos de terceros utilizando contraseñas únicas y seguras, almacenadas en un gestor de contraseñas. Reforzar aún más la seguridad de inicio de sesión activando la autenticación biométrica. De esta forma, aunque alguien pueda ver las contraseñas, no podrá acceder a las aplicaciones y cuentas.

Cubrir la cámara cuando no se esté utilizando: Si se quiere extremar las precauciones, se puede colocar una pegatina sobre la cámara para cubrir el lente cuando no se la esté utilizando.

Tener cuidado con las redes Wi-Fi públicas: Las redes Wi-Fi públicas suelen ser frecuentadas por ciberdelincuentes. Si los datos que circulan por estas redes no están cifrados, podrían espiar la navegación e incluso redirigir a sitios maliciosos que instalen spyware. También se podría conectar accidentalmente a un punto de acceso falso controlado por ciberdelincuentes, lo que permitiría hacer lo mismo.

Mantenerse alerta ante las amenazas de phishing: El phishing es uno de los principales vectores de infección de malware y spyware. Por eso, prestar atención a las señales de alerta: correos electrónicos no solicitados que parecen provenir de empresas o autoridades de confianza y que instan a hacer clic en un enlace o abrir un archivo adjunto. A menudo, intentan forzar a sus víctimas a tomar decisiones rápidas generando una sensación de urgencia. No ceder ante la presión.

En caso de sospechar que alguien ya accedió a la cámara sin autorización y si no se ha podido implementar medidas preventivas a tiempo, o estas no han funcionado, desde ESET aconsejan seguir estos pasos:

Ejecutar un análisis de malware con una aplicación de seguridad confiable para detectar y eliminar posibles amenazas.

Revisar y desinstalar cualquier aplicación sospechosa o instalada recientemente.

Revisar los permisos de las aplicaciones y revocar cualquier acceso a la cámara que aparezca como necesario, pero que no tenga una justificación clara.

Actualizar todo el software y el sistema operativo para asegurarse de utilizar las versiones más recientes y seguras, dificultando así la acción de posibles amenazas presentes en el dispositivo.

Supervisar de cerca el comportamiento del dispositivo y prestar atención a las señales de alerta mencionadas anteriormente.

Si los problemas persisten, puede ser necesario realizar un restablecimiento de fábrica o restaurar el dispositivo desde una copia de seguridad.

“Las amenazas para los smartphones pueden provenir de diferentes lugares. Puede que un ciberdelincuente busque obtener información para venderla en la dark web, o que alguien que está al acecho quiera acceder a las imágenes y videos capturados por la cámara. Incluso podría tratarse de una vigilancia invasiva por parte de organismos gubernamentales o policiales. Pero, independientemente del origen de la amenaza, mantenerse alerta es fundamental”, menciona Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.

Para saber más sobre ESET ingrese a: https://www.eset.com/latam/blog/cultura-y-seguridad-digital/la-camara-telefono-vigilando-senales-alerta-proteger-privacidad/

Robux gratis: cómo identificar ofertas falsas y proteger tu cuenta.

Quienes disfrutan del popular juego Roblox, es probable que alguna vez hayan sentido la tentación de buscar una forma de conseguir Robux gratis. Esta moneda virtual (Robux) que puede abrir la puerta a una gran variedad de experiencias dentro de la plataforma. Los jugadores más jóvenes, en particular, pueden querer más Robux debido a una combinación de FOMO (miedo a perderse algo) y el deseo de mejorar su estatus en línea. Desde ESET, compañía líder en detección proactiva de amenazas, advierten la importancia en diferenciar entre "gratis" y "ganado" cuando se trata de obtener Robux, para saber diferenciar qué ofertas son legítimas y cómo evitar estafas.

Existen programas oficiales de Roblox o de socios de confianza como Microsoft que permiten realizar tareas y/o responder preguntas para obtener una tarjeta de regalo de Roblox. Además, Roblox ofrece un 25 % más de Robux cuando los usuarios compran moneda virtual legítimamente a través de la web, computadoras o tarjetas de regalo. También existen formas de monetizar contenido dentro de Roblox. Por ejemplo, mediante suscripciones, cobro de tarifas de acceso, venta de artículos o habilidades que otros usuarios de Roblox pueden comprar, oferta de servidores privados o comercialización de modelos y complementos para otros creadores en la Creator Store. Incluso es posible vender artículos para avatares en el Marketplace y obtener una parte de las ganancias.

Sin embargo, estas son oportunidades para ganar Robux, y pueden ser más difíciles de alcanzar de lo que parecen. En otras palabras, realmente no se obtiene nada gratis. 

“Roblox lo deja muy claro: "No existe nada como Robux gratis, ofertas de suscripción gratuitas, trucos o códigos". Lo que sí existe, lamentablemente, son numerosos estafadores que buscan engañarte para obtener tu información personal y los datos de acceso a tu cuenta prometiendo Robux gratis”, afirma Mario Micucci, investigador de seguridad informática de ESET Latinoamérica. 

Desde ESET sostienen que existen tantas variantes de estas estafas como formas legítimas de ganar Robux. Estas son algunas de las más comunes:

Generadores de Robux "gratis" que solicitan el nombre de usuario de Roblox y, en algunos casos, solicitan completar encuestas o instalar software. Como es de esperar, los delincuentes solo quieren el nombre de usuario para intentar secuestrar la cuenta. Las encuestas suelen estar diseñadas para recopilar información personal sin que el usuario se dé cuenta, y el software puede incluir código malicioso. Roblox es una plataforma popular entre los ciberdelincuentes para distribuir malware.

Páginas de phishing a las que se llega después de hacer clic en un enlace incluido en un correo electrónico, mensaje no solicitado o anuncio malicioso. Estas páginas imitan el sitio oficial de Roblox para robar las credenciales.

Sorteos falsos en redes sociales, como YouTube, TikTok o Discord. El administrador afirma estar regalando miles de Robux gratuitamente, pero el enlace proporcionado es malicioso.

Ofertas por tiempo limitado, que pueden llegar mediante correos electrónicos de phishing o publicaciones y anuncios en redes sociales. El objetivo es generar una sensación de urgencia para llevarte a tomar una mala decisión, como hacer clic en un enlace o compartir información personal a cambio de unos supuestos "Robux gratis" que en realidad no existen.

Tarjetas de regalo falsas, otra oportunidad para que los estafadores obtengan lo que buscan. Pueden ofrecer intercambiar información personal, credenciales de acceso o incluso dinero por un código de tarjeta de regalo que en realidad no existe.

“Cualquier sitio que solicite credenciales de acceso o una supuesta "verificación humana" fuera del sitio oficial de Roblox es una estafa, a menos que puedas verificar de forma independiente que se trata de una página oficial de Roblox o de un socio autorizado”, alerta el investigador de ESET.

Desde ESET advierten que las promociones legítimas nunca solicitarán la contraseña ni el código de autenticación en dos pasos (2FA). Tampoco utilizarán ofertas por tiempo limitado o promesas demasiado buenas para ser verdad para llamar la atención. Tampoco advertirán que se podrían perder los Robux si no se actúa rápidamente. Y jamás pedirán descargar un supuesto "generador de Robux".

“Desconfía de cualquier oferta especial relacionada con Robux. Nunca compartas tus credenciales de acceso ni tu información personal con otros usuarios. Además, evita hacer clic en enlaces sospechosos o introducir tus contraseñas en páginas que no pertenezcan a Roblox”, aconseja Micucci.

Si eres padre, madre o tutor y te preocupa que tu hijo pueda caer en este tipo de engaños, es importante dedicar un momento a conversar sobre estas inquietudes. El objetivo principal es enseñar buenos hábitos de seguridad digital, como no compartir contraseñas ni hacer clic en enlaces sospechosos. Además, también es importante ayudarles a comprender que los "Robux gratis" no existen y que esta moneda virtual tiene un costo real.

Desde ESET sostienen que es importante que los más chicos se sientan cómodos para acudir a los adultos frente a un problema, sin importar lo que haya sucedido. Esto solo se logra explicando con calma por qué no pueden acceder libremente a la tarjeta de crédito y por qué pueden usar la plataforma únicamente de forma responsable.

Si crees que un niño o adolescente ya fue víctima de una estafa, desde ESET recomiendan cambiar las credenciales de acceso de la cuenta (y cualquier otra credencial compartida), activar la autenticación en dos pasos (2FA) y verificar que el correo electrónico de recuperación no haya sido modificado. Revisar los métodos de pago vinculados para detectar actividad sospechosa y considerar comunicarse con el banco o congelar la tarjeta. Si hay preocupación por la presencia de malware, es importante realizar un análisis del dispositivo con una solución de seguridad confiable. Sobre todo, no culpabilizar al menor, sino escucharlo, tranquilizarlo y ayudarlo a seguir estos pasos.

Para saber sobre ESET y este hallazgo más ingrese a: https://www.welivesecurity.com/es/seguridad-menores/robux-gratis-estafas-roblox/

Estafas con voces generadas por IA: ¿cómo evitarlas?

Las estafas con voces generadas por IA, o deepfakes, han dejado de ser un fenómeno minoritario. La tecnología es barata y convincente a la vez, una combinación preocupante que ha facilitado que más delincuentes puedan llevar a cabo este tipo de fraudes. ESET, compañía líder en detección proactiva de amenazas, advierte que, si bien la tecnología puede ser impresionante, hay una técnica sencilla que puede frenar a los delincuentes: una palabra de seguridad acordada de antemano.

Según un informe de Hiya publicado en marzo, una de cada cuatro personas en Estados Unidos afirma haber recibido una llamada con una voz deepfake en los últimos 12 meses. Además, otro 24% dice que no puede distinguir la diferencia y revela que el doble de personas cree que los estafadores están ganando la batalla frente a las operadoras móviles cuando se trata de voces clonadas. 

La tecnología de clonación de voz avanza a una velocidad vertiginosa, los estafadores solo necesitan unos segundos de audio para crear un deepfake convincente. Ese material puede obtenerse de publicaciones en redes sociales si no se ha restringido el acceso mediante la configuración de privacidad. También puede provenir de contenidos relacionados con el trabajo que terminan publicados en internet.

Una de las estafas más comunes consiste en llamar a un familiar y reproducir un audio deepfake diseñado para hacerle creer que un ser querido ha sido secuestrado. Estas estafas de secuestro virtual pueden parecer más creíbles al incluir datos personales obtenidos de las mismas cuentas en redes sociales. Los delincuentes también pueden monitorear los perfiles sociales de la víctima o de sus familiares para elegir el momento ideal para atacar. Incluso puede resultarles más conveniente si la supuesta víctima está viajando o en el extranjero y no está pendiente de las llamadas entrantes.

La clave para los estafadores es mantener a los familiares confundidos y emocionalmente afectados. Para lograrlo, suelen utilizar la voz clonada solo durante unos segundos, mezclarla con sonidos de llanto e incluso añadir ruido de fondo para que todo parezca más auténtico y caótico.

En este contexto, según ESET, una de las formas más simples y efectivas de detectar una estafa es acordar una palabra de seguridad con los familiares. Debe ser una palabra o frase fácil de recordar que cualquier integrante de la familia pueda pedir si sospecha que la voz podría haber sido falsificada con un deepfake. Un estafador no tendría forma de conocer esa palabra, lo que permitiría desenmascarar cualquier intento de engañar a la familia para que pague un rescate.

“Por supuesto, debe ser fácil de recordar, pero también poco común. Además, no debería ser algo que pueda descubrirse revisando las publicaciones en redes sociales u otras fuentes de inteligencia de fuentes abiertas (OSINT). Por eso conviene evitar opciones obvias, como el nombre de una mascota familiar o el equipo deportivo favorito”, destaca Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.

Es importante contar con un plan alternativo en caso de que alguien no recuerde la palabra. Lo mejor es que el familiar termine la llamada y luego se contacte utilizando el número que ya tiene guardado en sus contactos. Otra opción es enviar un mensaje por un grupo de chat familiar ya existente. Esto permite verificar rápidamente si en realidad se está en problemas o no. También pueden hacer una pregunta cuya respuesta solo conozca la familia. No debe ser información que pueda averiguarse en internet. Además, destacan desde ESET, que todos deberían saber que nunca deben enviar dinero ni compartir información personal si algo les parece sospechoso.

En caso de haber sido víctima de una estafa con deepfakes es importante:

Dejar de comunicarte con el estafador inmediatamente.

Contactar al banco para explicar lo ocurrido y consultar si existe alguna posibilidad de bloquear o recuperar los fondos transferidos.

Cambiar cualquier contraseña que pudiera haber sido expuesta en las cuentas afectadas. También es un buen momento para activar la autenticación en dos pasos (2FA) y utilizar contraseñas únicas y robustas almacenadas en un gestor de contraseñas.

Conservar toda la evidencia posible, como números de teléfono o grabaciones.

Denunciar la estafa ante las autoridades competentes de cada país.

Para saber sobre ESET más ingrese a: https://www.welivesecurity.com/es/seguridad-digital/palabra-seguridad-evitar-estafas-voces-deepfake/

Fuiste víctima de un deepfake: ¿qué se debe hacer?

Abordar el problema de los deepfakes se ha convertido en una causa común a lo largo de todo el espectro político alrededor del mundo. Esto se debe, en parte, a que estos videos e imágenes fabricados son cada vez más comunes y realistas gracias a las herramientas de IA generativa (GenAI), es extremadamente rápido, barato y fácil crear contenido falso que suplante a una persona real. ESET, compañía líder en detección proactiva de amenazas, destaca que aunque algunos se comparten como una broma, los deepfakes también tienen un lado oscuro, ya que los estafadores utilizan esta tecnología en estafas y extorsiones para hostigar, humillar y maltratar a sus víctimas. 

Recientemente entró en vigor en Estados Unidos la ley TAKE IT DOWN Act que penaliza la distribución de imágenes íntimas no consensuadas (NCII, por sus siglas en inglés), y exige que las plataformas en línea proporcionen mecanismos claros de denuncia y eliminen las imágenes reportadas legítimamente en un plazo de 48 horas. En el Reino Unido, la Data Act y la Online Safety Act convierten en delito la creación de este tipo de contenido. Las autoridades también han impuesto un plazo obligatorio de 48 horas para su eliminación. La Ley de IA de la Unión Europea (EU AI Act) introducirá próximamente una prohibición de los sistemas diseñados específicamente para crear imágenes íntimas no consensuadas. 

Las acciones de las personas siguen reguladas por las leyes de cada Estado miembro. No obstante, si la imagen corresponde a un menor de edad, es ilegal en la mayoría, si no en todas, las jurisdicciones. A su vez, fuera del ámbito de las imágenes íntimas no consensuadas, dependerá del propósito para el cual se creó el deepfake. Si se distribuyó sin consentimiento y/o se utilizó con fines maliciosos como fraude, chantaje, difamación, acoso o suplantación de identidad, podría ser ilegal.

Si alguien creó un deepfake tuyo que no califica como imagen íntima no consensuada, el primer consejo que comparten desde ESET es guardar las pruebas. Esto significa hacer capturas de pantalla de la página o cuenta, guardar la URL y anotar la cuenta o nombre de usuario, la fecha y hora en que lo encontraste y cualquier texto que acompañe la publicación. También es recomendable no interactuar con la persona que publicó el contenido, ya que podría difundir el contenido aún más.

La mayoría de las plataformas en línea y redes sociales ya cuentan con mecanismos para denunciar deepfakes, pero rara vez existe un botón específico para ello. Por lo general, se tendrá que identificar la infracción que el deepfake facilita (por ejemplo, acoso o fraude) y explicarla.

Google: Probar la herramienta "eliminar información personal" (o esta alternativa) y el formulario de solicitud legal de eliminación para retirar contenido que no sea NCII de los resultados de búsqueda. Esto hará más difícil que las personas encuentren el deepfake. Tener en cuenta que esto no eliminará el contenido original.

Facebook: Abrir la publicación o el video. Seleccionar ⋯ → Reportar publicación/video. Elegir la categoría que mejor describa el problema, por ejemplo, suplantación de identidad o acoso. Explicar que el contenido fue generado con IA y aclarar por qué es engañoso o perjudicial.

Instagram: Hacer clic en las dos líneas de la esquina superior derecha, seleccionar Reportar y elegir el motivo más adecuado.

TikTok: En el video, seleccionar Compartir → Reportar → Información falsa → Deepfakes, medios sintéticos y medios manipulados → Enviar.

YouTube: Si alguien utiliza IA para crear o modificar contenido que parece o suena como tú, puedes solicitar su eliminación mediante el Proceso de reclamación de privacidad para contenido alterado o sintético.

X: Denuncia la publicación específica. Toca los tres puntos horizontales. Reportar publicación → sigue el proceso de denuncia. Explicar que el contenido fue generado con IA y por qué representa un problema.

Las imágenes íntimas no consensuadas exigen una respuesta rápida y una buena primera opción es StopNCII.org, un recurso administrado por la Revenge Porn Helpline, que forma parte de la organización benéfica internacional SWGfL. Se selecciona la imagen o video ofensivo y StopNCII.org creará una huella digital (hash) del contenido en el dispositivo. Si el reporte es exitoso, se recibirá un número de caso. Y, lo más importante, las plataformas participantes buscarán la misma huella digital y eliminarán cualquier imagen coincidente de sus sistemas si infringe sus políticas. Entre los socios participantes se encuentran Meta, TikTok, Reddit y X. También se querrá eliminar el deepfake de los resultados de Google para que sea más difícil encontrarlo. TakeItDown.NCMEC.org opera un sistema similar para imágenes o videos de menores de 18 años.

Google puede haber eliminado de su índice el deepfake, pero el contenido podría seguir disponible en el sitio web donde está alojado. Si un sitio web no quiere eliminar una fotografía , el primer paso es contactar al editor o responsable del sitio para solicitar su eliminación. Pero si se niega, sigue estos pasos:

Conservar las pruebas, incluidas capturas de pantalla, URL, fecha y hora en que fue encontrado por primera vez, la respuesta del sitio a la solicitud y la cuenta o usuario que lo subió.

Buscar el contacto legal, de privacidad o derechos de autor del sitio web y enviarle una comunicación indicando que la imagen o video te representa y está siendo publicado sin consentimiento. Solicitar su eliminación con base en la política correspondiente del sitio o en la legislación local, y pedir una confirmación por escrito cuando se haya realizado.

En el Reino Unido o la UE, se puedes hacer lo anterior citando el derecho de supresión del Artículo 17 del RGPD. Si aun así se niegan o no toman medidas, se puede escalar el caso ante la autoridad local de protección de datos.

“La clave al interactuar con sitios web, plataformas sociales, motores de búsqueda o reguladores no es simplemente afirmar que el contenido fue generado con IA, sino especificar exactamente por qué es problemático (por ejemplo, fraude, acoso, suplantación de identidad, etc.). Sé persistente y considera contactar simultáneamente al motor de búsqueda, la red social o sitio web y al regulador para ahorrar tiempo”, recomienda Mario Micucci, investigador de seguridad informática de ESET Latinoamérica. 

Para saber sobre ESET más ingrese a: https://www.welivesecurity.com/es/seguridad-digital/victima-deepfake-que-debo-hacer/

De las redes sociales al fraude: cómo la IA ayuda a los estafadores.

La velocidad a la que evoluciona la inteligencia artificial implica que actividades que antes requerían varias horas o incluso días de trabajo de un ciberdelincuente experimentado ahora pueden realizarse en una fracción de ese tiempo por alguien con pocos o ningún conocimiento previo. ESET, compañía líder en detección proactiva de amenazas, asegura que esto reduce la barrera de entrada para los ciberdelincuentes y que esto se observa en la explotación de vulnerabilidades, en la generación básica de malware y en las tareas de reconocimiento de víctimas.

“Esta modificación debería poner en alerta incluso a los usuarios habituales de internet. Si los ataques se vuelven más baratos y fáciles de ejecutar para los estafadores, cualquiera podría convertirse en un objetivo”, comenta Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.

Antes de la aparición de la IA, un adversario debía invertir tiempo en identificar las cuentas públicas de sus objetivos, sus intereses, amistades, familiares y colegas. También podía necesitar herramientas especializadas o revisar innumerables sitios web, perfiles y publicaciones, correlacionando y verificando información, estableciendo relaciones entre individuos y determinando qué elementos podrían utilizarse en un ataque. La recopilación de inteligencia de fuentes abiertas (OSINT, por sus siglas en inglés) solía ser una práctica reservada para objetivos de alto perfil y potencialmente de alto valor, ya que requería habilidades especializadas y mucho tiempo. 

Las herramientas de IA pueden localizar contenido disponible públicamente en toda la web, vincularlo con posibles víctimas y mapear las relaciones entre estas y otras personas. Lo que las hace especialmente eficaces para encontrar información no estructurada, en particular imágenes y videos. Esta realidad resulta preocupante ya que los estafadores pueden recopilar fácilmente información pública sobre una persona para hacer más convincentes las campañas de ingeniería social y escalar sus fraudes. Por ejemplo:

Un correo electrónico de phishing diseñado para engañar a la víctima y hacer que comparta sus credenciales o haga clic en un enlace que instale malware sin darse cuenta. Este mensaje sería mucho más convincente si incluyera datos personales como el lugar de trabajo, la escuela de un hijo, un evento reciente al que asistió la víctima, como un cumpleaños o unas vacaciones recientes. Toda esa información puede encontrarse en el dominio público y recopilarse fácilmente a gran escala.

Un video o una llamada telefónica que suplante la voz o la imagen de una persona podría utilizarse para convencer a un familiar o ser querido de que esta se encuentra en peligro. Los ciberdelincuentes pueden emplear deepfakes para solicitar dinero utilizando la “voz” de la víctima o para simular un secuestro y exigir el pago de un rescate para garantizar su seguridad. Incluso utilizar un deepfake para crear un video de carácter obsceno y amenazar con compartirlo no se les paga. En el Reino Unido, cientos de menores de 18 años reportaron haber sido víctimas de este delito.

“Los modelos de lenguaje de gran escala (LLM) son eficaces para reunir el tipo de información que los estafadores necesitan para que sus fraudes funcionen. Pueden perfilar grandes cantidades de posibles víctimas en poco tiempo, recopilando imágenes, videos e información personal, de trabajo, familiares y amigos que puede utilizarse con fines maliciosos. La IA también puede ayudar a diseñar los guiones de ingeniería social, permitiéndoles sonar convincentes a través del correo electrónico, las redes sociales u otros canales, incluso cuando no son hablantes nativos del idioma”, aclara Micucci.

Una vez que la información personal se encuentra en el dominio público, resulta difícil solicitar su eliminación, especialmente porque es posible que haya sido republicada en otros lugares. Las fotografías antiguas en redes sociales suelen ser más fáciles de eliminar, pero pocas personas tienen el tiempo necesario para revisar toda su vida digital en busca de información potencialmente útil para los ciberdelincuentes.

Por ello, ESET recomienda centrarse en aquello que sí está al alcance de cada usuario y comparte las siguientes recomendaciones:

Asegurarse de que los perfiles en redes sociales no sean accesibles públicamente, para limitar la capacidad de la IA de encontrar información, imágenes o videos contenidos en ellos.

Ser cuidadoso con la información que se comparte en redes sociales. Datos como fechas de nacimiento, a qué escuela asisten los hijos, vacaciones y eventos similares deberían mantenerse en privado.

Tener presente que las fotografías pueden contener información que permita identificar direcciones, datos de vehículos u otros detalles sensibles.

Evitar publicar contenido que pueda utilizarse para vincular la vida personal con la vida profesional.

Utilizar autenticación multifactor (MFA) y contraseñas robustas y únicas para añadir una capa adicional de seguridad a las cuentas.

No aceptar solicitudes de amistad o seguimiento de personas que no se conoce. Si se tienen dudas o curiosidad, contactar primero a esa persona a través de otro canal independiente.

“La IA está mejorando muchos aspectos de nuestras vidas. Sin embargo, también trae consigo riesgos de los que apenas estamos comenzando a tomar conciencia. La cautela sigue siendo la mejor estrategia. Conviene actuar bajo la premisa de que cualquier cosa que publiques podría ser leída y procesada por sistemas de IA. Actúa en consecuencia y anima también a familiares y amigos a hacer lo mismo”, concluye Micucci de ESET Latinoamérica. 

Para saber sobre ESET más ingrese a: https://www.welivesecurity.com/es/privacidad/ia-fraudes-recopilacion-informacion-victimas/

Los códigos QR también son blanco de los ciberdelincuentes

Cuanto más familiar resulta algo, más probable es que se deje de cuestionarlo. En ciberseguridad, esa complacencia puede ser especialmente peligrosa. Es el caso de los códigos QR, que se han vuelto algo habitual en menús, postes de alumbrado y parquímetros, y también en correos electrónicos durante los últimos años. En este sentido, ESET, compañía líder en detección proactiva de amenazas, advierte sobre el crecimiento del quishing (phishing basado en códigos QR) y como representa una forma de ocultar enlaces maliciosos, evadir algunos filtros de seguridad corporativos tradicionales y  los riesgos de que la interacción pase de una computadora corporativa a un teléfono personal con menos controles de seguridad. 

Un código QR es un código de barras bidimensional, abreviatura de Quick Response (respuesta rápida), capaz de codificar URL, datos de pago, información de contacto y otros datos, permitiendo a los usuarios acceder rápidamente a un sitio web, una aplicación u otro recurso digital. Según ESET, estos resultan atractivos para los actores de amenazas debido a uso habitual y generalizado, a que se integran fácilmente en las campañas de phishing: basta con reemplazar ese enlace o archivo adjunto malicioso por un código QR, y a que pueden generarse en segundos. 

Una de las principales ventajas para el atacante es la capacidad de ocultar el destino del enlace. El destino está codificado en un patrón visual y no se muestra como texto legible, lo que esconde las URL maliciosas y evita que algunos filtros tradicionales de correo electrónico puedan extraerlas e inspeccionarlas. En ocasiones se ocultan aún más al incrustarlas en archivos adjuntos PDF o JPEG. Esto aumenta las probabilidades de que lleguen a las bandejas de entrada de sus empleados. Y cuando lo hacen, el personal puede tener dificultades para distinguir un mensaje legítimo de uno malicioso. Normalmente hay poco texto para analizar en busca de errores ortográficos o gramaticales. Y como el enlace está codificado en un patrón visual, resulta invisible para el ojo humano.

"Los códigos QR se volvieron un elemento habitual en nuestra rutina diaria, lo que genera una falsa sensación de confianza. El cibercrimen aprovecha que el usuario no puede verificar visualmente la URL completa antes de avanzar hacia el sitio web. Lo más importante es que un solo escaneo sin precaución puede generar un acceso no autorizado a un entorno corporativo relativamente bien protegido a un dispositivo móvil potencialmente no gestionado, eludiendo así los controles de seguridad corporativos", menciona Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.

Según el ESET Threat Report H1 2026, los códigos QR maliciosos estaban presentes en el 11% de todos los correos electrónicos de phishing detectados durante la primera mitad de 2026. “ESET rastrea los correos electrónicos de quishing bajo el nombre de detección QRCode/Phishing. Esta detección está diseñada para identificar códigos QR en la gran mayoría de los tipos de archivo y decodificar las URL que contienen. Las URL extraídas son analizadas mediante los motores antiphishing, antimalware y antispam de ESET; cualquier URL dañina es bloqueada y los correos electrónicos asociados son marcados o eliminados”, señala el informe.

Para reducir significativamente el riesgo de phishing con códigos QR en una organización, es necesario alcanzar una combinación equilibrada de capacitación, procesos y tecnología. Desde ESET comparten los puntos clave para tener en cuenta:

Comenzar por las personas: Incluir el quishing en los programas de concientización sobre seguridad y en los ejercicios de simulación. Promover que los empleados eviten escanear códigos QR presentes en correos electrónicos no solicitados y que reporten cualquier mensaje sospechoso. Si creen que el mensaje proviene de una fuente confiable, deben verificarlo directamente con el remitente utilizando datos de contacto obtenidos por una vía distinta al correo recibido.

Considerar los controles técnicos, incluida una solución de seguridad de correo electrónico de un proveedor confiable:  Para minimizar el riesgo de que los mensajes de quishing lleguen a las bandejas de entrada, incorporar también una solución de seguridad móvil en los dispositivos de los empleados para bloquear el acceso a sitios maliciosos y otras amenazas. Asimismo, exigir autenticación multifactor resistente al phishing (phishing-resistant MFA) para todas las cuentas sensibles, de modo que, incluso si los usuarios son engañados, los adversarios no puedan obtener acceso a los sistemas corporativos. Las herramientas de administración de dispositivos móviles (MDM) pueden ayudar a garantizar que todos los dispositivos estén protegidos de acuerdo con las políticas de la empresa.

Reducir la superficie de ataque: aplicar el principio de mínimo privilegio y el acceso just in time. Mantener actualizados todos los sistemas operativos móviles y el software corporativo, incluidas las herramientas de seguridad. Además, realizar una supervisión continua para detectar actividades sospechosas y poner a prueba los planes de respuesta a incidentes para estar preparados ante el peor escenario.

“Los códigos QR han pasado de ser una novedad a convertirse en una herramienta habitual en los entornos corporativos. Y lo mismo ha sucedido con el quishing. La familiaridad no tiene por qué generar complacencia. Así como los empleados se han acostumbrado a desconfiar del phishing tradicional por correo electrónico y SMS, también pueden ser capacitados para identificar las señales de advertencia de un posible intento de quishing. Cuando se combina con capacitación y concientización, la familiaridad también puede contribuir a fortalecer la seguridad”, concluye Micucci de ESET.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/seguridad-corporativa/quishing-codigos-qr-seguridad-corporativa/ 

El 73% de las empresas en América Latina asegura que el phishing sigue funcionando

Según los datos relevados en el último informe “ESET Security Report”, el 73% de las empresas en América Latina afirman haber sido objetivo de campañas de phishing durante el 2025. Las organizaciones manufactureras registran el 81,4%, y el sector bancario alcanza el 100% de las instituciones que reportan intentos de phishing.

ESET, compañía líder en detección proactiva de amenazas, asegura que lo que hace que el phishing sea tan letal no es la sofisticación de la tecnología sino es la manipulación. La ingeniería social sigue siendo el vector de ataque más explotado, superando el acceso no autorizado, el malware y la explotación de vulnerabilidades. A diferencia de un ataque técnico que puede ser detectado por herramientas, el phishing depende de un clic humano. 

“El phishing no es un ataque sofisticado porque utilice tecnología avanzada. Es sofisticado porque explota el elemento más débil de cualquier sistema de seguridad: el ser humano. Además, los sectores con datos sensibles o acceso a recursos críticos son una prioridad para los delincuentes. Y no es casualidad que precisamente las industrias con menor capacidad defensiva terminen siendo las más atacadas”, comenta David González, investigador de seguridad informática de ESET Latinoamérica. 

El informe revela que no todos los sectores en América Latina experimentan el phishing en la misma medida. Los datos muestran una concentración de riesgo en industrias específicas, y las razones varían desde la naturaleza del trabajo hasta la madurez de las defensas. El sector manufacturero aparece como uno de los más atacados, con un 81,1% de las organizaciones latinoamericanas que reportaron haber sufrido ataques de phishing, lo que indica que las empresas manufactureras son objetivos especialmente atractivos. Por otro lado, el sector de educación registra un 81,4%, explicado en parte por un fenómeno que combina infraestructuras antiguas, ciclos de actualización más lentos y equipos con menos experiencia en seguridad. El sector de Banca y Finanzas registra el 79,6% de los intentos de phishing en América Latina. Gobierno y Salud, a su vez, registran el 72,6% y el 67,6% respectivamente en la región, cifras que siguen siendo alarmantemente altas.

La ingeniería social sigue siendo el vector de ataque más explotado en América Latina, superando el acceso no autorizado, el malware y la explotación de vulnerabilidades. Los delincuentes entienden que derrotar a una persona es mucho más fácil que superar un firewall. El phishing funciona porque explota tres cosas: confianza, prisa y conocimiento limitado. Un correo electrónico que parece legítimo, aparentemente de un compañero o responsable, con una solicitud urgente genera pánico. En este punto, el cerebro está en modo reactivo, no reflexivo. La persona hace clic antes de pensar.

A nivel global, los datos del ESET Threat Report del primer semestre de 2026 muestran la evolución de esta táctica. Los delincuentes no solo envían correos electrónicos evidentes con errores tipográficos. Están personalizando ataques, usando información específica de la empresa, suplantando dominios y expandiéndose a nuevas plataformas como los códigos QR en los correos electrónicos, que evaden el escaneo tradicional.

“El phishing funciona porque es sencillo de realizar, demasiado efectivo y, en la mayoría de los casos, la víctima no sabe que ha sido objetivo hasta mucho más tarde. El phishing de hoy no es el correo obvio con errores tipográficos y enlaces extraños. Es demasiado sofisticado para ser fácil de detectar. Los delincuentes están utilizando varias técnicas nuevas”, agrega el investigador.

ESET identificó una campaña reciente que enviaba correos electrónicos con el asunto "Nuevo buzón de voz" para suplantar la propia cuenta de la víctima como remitente, creando la ilusión de que el mensaje se había originado dentro de la empresa. En este caso, el archivo adjunto era un archivo .svg, un formato menos común que puede eludir los filtros de seguridad tradicionales. Cuando la víctima abría el archivo, era redirigida a una página que imitaba el inicio de sesión de Outlook, donde se les robaban las credenciales. A nivel global, ESET advierte que se han reportado otras tácticas que utilizan códigos QR distribuidos en correos electrónicos, o la técnica de ClickFix, que simulan fallos del navegador y piden al usuario que tome medidas urgentes.

Para mantenerse protegido ante esta amenaza, desde ESET comparten algunas recomendaciones: no hacer clic en links de mails no solicitados o de dudosa procedencia y desconfiar especialmente de asuntos que generen un sentido de urgencia o alerta. Además, tener especial cuidado con adjuntos inesperados, especialmente en formatos menos comunes como .SVG.

González aconseja: “En resumen, si algo parece urgente y llega por correo electrónico, es una señal de alarma, mejor comunícate con el remitente por una vía oficial. La seguridad contra el phishing no es solo responsabilidad de la empresa. Se comparte entre la organización y cada persona que utiliza el correo corporativo. Para las empresas, el primer paso de seguridad según ESET es la visibilidad. Si no se puede detectar un ataque, no hay posibilidad de responder. El firewall, el EDR y los sistemas de respaldo son defensas básicas que deben estar en su lugar y, lo que es más importante, deben ser monitorizadas. Y por supuesto, fortalecer las políticas de autenticación, mantener los sistemas actualizados”.

La formación en seguridad no es una actividad anual aburrida, es lo que diferencia a las empresas que filtran datos de las que no lo hacen. El phishing sigue funcionando porque realmente funciona. Los criminales no cambian de arma cuando el arma sigue las defensas corporativas. La seguridad solo cambia cuando las organizaciones entienden que la invisibilidad es el verdadero problema, no la falta de herramientas. Y cuando cada persona entiende que un clic equivocado no es un error personal, es exactamente lo que el criminal planeó.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/seguridad-corporativa/phishing-empresas-latinoamerica-capacitacion-ciberseguridad/

Más de la mitad de las empresas detectó intentos de ataques informáticos durante el último año.

El ESET Security Report Latinoamérica 2026 reúne el análisis de las principales tendencias, desafíos y oportunidades que hoy enfrentan las empresas de la región en materia de ciberseguridad. Releva los principales ciberataques sufridos por las empresas, los vectores de intrusión más frecuentes, el nivel de adopción de tecnologías basadas en inteligencia artificial y el grado de adopción de soluciones de protección en los entornos corporativos.

Es el resultado de la encuesta anual realizada por ESET, compañía líder en detección proactiva de amenazas, a más de 1.500 profesionales vinculados a la ciberseguridad pertenecientes a 962 organizaciones de 10 países latinoamericanos. El 80 % de los encuestados desempeña funciones en áreas de seguridad, mientras que el resto corresponde a perfiles no técnicos, lo que permite obtener una perspectiva amplia que abarca todos los niveles de las organizaciones.

Una de las conclusiones del informe, en comparación con la edición anterior, es que la ciberseguridad en las organizaciones continúa siendo mayoritariamente reactiva. Si bien el 85% utiliza firewalls, el 82% cuenta con backups y el 73% implementa VPN, apenas el 23% incorpora plataformas de Threat Intelligence, una de las tecnologías clave para una detección proactiva. Persisten brechas estructurales que limitan la capacidad de las organizaciones para anticipar, detectar y responder de manera efectiva a las amenazas.

Entre los principales desafíos identificados se destacan la falta de visibilidad sobre los incidentes, la persistencia del phishing como principal vector de ataque, el uso de la inteligencia artificial, las debilidades en la protección de la identidad y los dispositivos móviles, así como problemas de higiene digital que continúan siendo aprovechados por los atacantes.

Aunque el 52,7% de las organizaciones detectó intentos de ataque durante el último año, un 15,4% no puede confirmar si fue víctima de un incidente, lo que confirma la persistencia de una falta de visibilidad sobre los entornos que limita la capacidad para comprender el nivel real de exposición y responder oportunamente frente a las amenazas.

Además, entre las organizaciones que no detectaron ataques, una de cada cuatro (25,1%) reconoce que los incidentes podrían haber ocurrido sin ser detectados por no contar con la tecnología suficiente, lo que permite estimar que cuatro de cada diez organizaciones carecen de la capacidad analítica necesaria para conocer su nivel real de exposición.

“Esta brecha continúa siendo uno de los principales desafíos para las empresas de la región, sobre todo por el impacto que puede tener en la capacidad de prevenir, detectar y gestionar incidentes de seguridad.”, asegura Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.

El phishing se mantiene como el vector de ataque más frecuente en América Latina, y afectó al 73% de las organizaciones encuestadas. Los resultados muestran que la ingeniería social continúa siendo una de las herramientas más efectivas para los atacantes y ponen de manifiesto que la cultura de seguridad sigue siendo un aspecto crítico para las empresas.

En particular, se observan diferencias entre industrias, con una incidencia especialmente alta del phishing en los sectores de Educación (81,4%), Manufactura (81,1%) y Banca (79,6%).

La inteligencia artificial se consolida como uno de los principales desafíos para las organizaciones de la región. Mientras una mayoría de los profesionales consultados considera que facilitará ataques cada vez más sofisticados y automatizados, una proporción importante de organizaciones todavía no cuenta con políticas internas que regulen su utilización.

Entre los principales hallazgos del informe se destacan:

56,3% considera que la IA facilitará ataques más sofisticados.

19,6% identifica los deepfakes como la principal amenaza.

39,2% no tiene ninguna regulación interna.

39,7% sí posee marcos internos.

“Estos resultados ponen de manifiesto nuevos desafíos para la gobernanza, la gestión del riesgo y la definición de políticas corporativas en torno al uso responsable de estas tecnologías”, destaca Micucci.

Las organizaciones han fortalecido la adopción de controles tradicionales de seguridad. Sin embargo, persisten debilidades en aspectos fundamentales como la protección de la identidad, la seguridad de los dispositivos móviles y la gestión de vulnerabilidades conocidas. Entre las organizaciones encuestadas, solo el 57% utiliza autenticación multifactor, el 36% implementa soluciones DLP y apenas el 23% incorpora plataformas de Threat Intelligence.

“Esta aparente contradicción evidencia que la madurez en ciberseguridad depende cada vez más de la integración entre tecnología, procesos y personas, y no únicamente de la incorporación de nuevas herramientas”, enfatizan desde ESET Latinoamérica.

El informe también revela que las brechas no se limitan a la infraestructura tecnológica. Entre los colaboradores no técnicos, solo el 52,2% utiliza autenticación multifactor en sus cuentas laborales y el 26,9% reconoce que no aplica ninguna medida de seguridad en su teléfono corporativo, lo que confirma que el factor humano continúa siendo uno de los principales desafíos para las organizaciones.

“Desde ESET apostamos a que el conocimiento y la educación permite a las organizaciones tomar decisiones más informadas y fortalecer su capacidad de prevención y respuesta. La elaboración de este reporte apunta a acercar un panorama real de lo que hoy enfrentan las empresas de la región en materia de ciberseguridad para conocer de qué manera mantenerse protegidos”, concluye Micucci de ESET Latinoamérica.

El ESET Security Report Latinoamérica 2026 reúne el análisis de las principales tendencias, desafíos y oportunidades que hoy enfrentan las empresas de la región.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/

ESET lanza su informe de amenazas del primer semestre de 2026: La IA aumenta la eficiencia de los ciberatacantes

ESET, compañía líder en detección proactiva de amenazas, lanza el ESET Threat Report su informe de amenazas del primer semestre de 2026, que resume las tendencias del panorama de amenazas observadas en la telemetría de ESET, así como las perspectivas de especialistas en detección e investigación de amenazas de ESET, desde diciembre de 2025 hasta mayo de 2026. En el mismo revelan como los atacantes continúan mejorando la eficiencia y escalabilidad de sus operaciones, ya que, en lugar de depender de métodos y herramientas completamente nuevos, están adaptando rápidamente técnicas consolidadas a nuevas plataformas, tecnologías y comportamientos de los usuarios. 

Puntos destacados del informe:

ClickFix -una técnica de ingeniería social que aprovecha mensajes de error falsos- se ha expandido a páginas de ayuda con temática de IA, extensiones de navegador y escenarios de autenticación en la nube. 

El phishing con códigos QR -también conocido como «quishing»- ha alcanzado niveles récord en la telemetría de ESET. 

ESET analizó casi 900 000 habilidades de IA -pequeños componentes funcionales utilizados por agentes de IA- e identificó decenas de miles de instancias sospechosas y miles de instancias maliciosas. La IA también está comenzando a aparecer dentro del malware. 

El ransomware no mostró signos de desaceleración, con su uso continuo de «EDR killers» -herramientas diseñadas para desactivar el software de seguridad durante los ataques-.

La inteligencia artificial está desempeñando un papel cada vez más importante. Durante el primer semestre de 2026, ESET analizó cerca de 900.000 AI skills -pequeños componentes funcionales utilizados por agentes de IA- e identificó 25.000 de instancias sospechosas y más de 3.000 instancias directamente maliciosas. La cantidad de AI skills dentro de este nuevo ecosistema está creciendo, ampliando la superficie de ataque.

La IA también está comenzando a aparecer dentro del propio malware. Poco después de la aparición del primer ransomware impulsado por IA en 2025, el equipo de investigación de ESET identificó PromptSpy, el primer malware para Android conocido que utiliza IA generativa en su flujo de ejecución. Este malware aprovecha la IA -específicamente Gemini de Google- para interpretar elementos de la interfaz de usuario y adaptarse a distintos dispositivos y entornos sin depender de comportamientos codificados de forma rígida (hardcoded).

«En lugar de recurrir a métodos y herramientas completamente nuevos, los atacantes están adaptando rápidamente técnicas ya establecidas a nuevas plataformas, tecnologías y comportamientos de los usuarios. El número de habilidades de IA dentro de este nuevo ecosistema está creciendo rápidamente en este mismo momento, lo que amplía aún más la superficie de ataque», afirma Jiří Kropáč, director de los Laboratorios de Prevención de Amenazas de ESET. «Por otro lado, PromptSpy ilustra el potencial de una mayor flexibilidad en las amenazas futuras, aunque es probable que las medidas de protección contra el abuso incluidas en los modelos de lenguaje grande (LLM) estén frenando su adopción», explica Kropáč.

Las habilidades de IA son pequeños complementos o conjuntos de instrucciones que indican a un agente de IA cómo realizar una tarea específica, incluyendo qué servicios o herramientas utilizar y a qué datos acceder. El informe publicado aborda detalles sobre habilidades de IA maliciosas que utilizan herramientas de piratería de terceros y una habilidad sospechosa que se auto-modifica, diseñada para crear un mecanismo de persistencia (archivo JSON) y una herramienta para la auto-modificación (código Python). Esto puede dar lugar a un comportamiento impredecible del agente o a su uso indebido por parte de un atacante. Y, por último, existen habilidades benignas pero problemáticas, como las que se comercializan como escáneres de seguridad, las cuales crean una falsa sensación de seguridad, pero solo implementan técnicas básicas de escaneo -como las herramientas antivirus de la década de 1990- o simplemente consultan la reputación de hash, URL y direcciones IP en VirusTotal.

Habilidades únicas de IA analizadas por los sistemas de ESET por día, promedio de siete días:

Mientras tanto, ClickFix -una técnica de ingeniería social que aprovecha mensajes de error falsos- se ha expandido más allá de las solicitudes falsas de CAPTCHA para abarcar páginas de ayuda relacionadas con la IA, extensiones de navegador y escenarios de autenticación en la nube. AI-fix muestra cómo los atacantes se aprovechan de la confianza en la IA generativa, incorporando cadenas de compromiso de ClickFix en contenido de resolución de problemas generado por IA para issues inexistentes en páginas que abusan de los dominios de gigantes de la IA. ConsentFix destaca una evolución hacia el robo de tokens, combinando la interacción al estilo ClickFix con el abuso de la autorización OAuth para secuestrar cuentas en la nube sin necesidad de robar credenciales, a menudo eludiendo el doble factor de autenticación (MFA) y basándose por completo en flujos de trabajo de inicio de sesión legítimos. Las detecciones de ESET de este vector se duplicaron con creces entre el segundo semestre de 2025 y el primer semestre de 2026, lo que indica una actividad sostenida y una adaptación constante. 

Las campañas de phishing también están evolucionando en respuesta al comportamiento de los usuarios. El phishing mediante códigos QR -también conocido como «quishing»- ha alcanzado niveles récord en la telemetría de ESET, con atacantes que incrustan enlaces maliciosos en códigos QR para eludir la inspección y desviar la interacción del usuario hacia dispositivos móviles, al tiempo que se aprovechan de la confianza implícita que muchas personas depositan en los códigos de barras con patrones cuadrados. Aproximadamente el 11 % de todos los correos electrónicos de phishing detectados en el primer semestre de 2026 utilizaban códigos QR, y las amenazas de phishing con códigos QR fueron más frecuentes en EE. UU. (19 % de las detecciones), España (17 %) y México (6 %).

Por último, la actividad del ransomware no mostró signos de desaceleración, con el uso continuo de «EDR killers» -herramientas diseñadas para desactivar el software de seguridad durante los ataques-. El equipo de investigación de ESET ha documentado más de 100 «EDR killers» diferentes en circulación, y aparecen nuevas variantes con regularidad. El número de ataques de ransomware siguió creciendo en el primer semestre de 2026, pero el número de víctimas dispuestas a pagar alcanzó mínimos históricos. Tres informes recientes de la industria confirmaron esta tendencia a la baja, indicando que entre el 14 % y el 28 % de las víctimas pagaron el rescate.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/informes/eset-threat-report-informe-de-amenazas-primer-semestre-2026/

IA y servicios MDR fortalecen la protección empresarial

“En un entorno donde las amenazas cibernéticas evolucionan con mayor rapidez y sofisticación, las organizaciones requieren estrategias de seguridad capaces de anticipar riesgos, responder de forma inmediata y reducir el impacto de los incidentes”, expuso Marcello Zúñiga, gerente de Desarrollo de Negocios de ESET Nicaragua.

En este contexto, la inteligencia artificial (IA), los servicios gestionados de detección y respuesta (MDR, por sus siglas en inglés) y las plataformas de protección inteligente se han convertido en pilares fundamentales para garantizar la continuidad de los negocios.

ESET, compañía líder en ciberseguridad con más de tres décadas de experiencia en investigación y desarrollo de tecnologías de protección digital, impulsa esta nueva generación de soluciones mediante la combinación de inteligencia artificial, análisis de comportamiento y el conocimiento de expertos en ciberseguridad para ofrecer una defensa multicapa frente a las amenazas actuales y futuras.

Inteligencia artificial para una detección más precisa

La inteligencia artificial desempeña un papel clave en la evolución de la ciberseguridad. La empresa integra capacidades de IA y aprendizaje automático en sus tecnologías de detección para identificar patrones maliciosos, analizar grandes volúmenes de información en tiempo real y detectar amenazas conocidas y desconocidas con mayor precisión.

Estas capacidades complementan la experiencia de sus investigadores, permitiendo reducir los falsos positivos y acelerar la identificación de actividades sospechosas antes de que puedan convertirse en incidentes de seguridad. La IA también fortalece la detección de malware avanzado, ataques de día cero y campañas de ransomware cada vez más complejas.

MDR: monitoreo y respuesta experta las 24 horas

Ante la creciente escasez de talento especializado en ciberseguridad y la necesidad de monitoreo continuo, los servicios gestionados de detección y respuesta se han convertido en una alternativa estratégica para empresas de todos los tamaños.

Con el servicio ESET MDR, las organizaciones cuentan con un equipo de especialistas que supervisa permanentemente los entornos protegidos, investiga actividades sospechosas, valida alertas y responde de manera rápida ante posibles incidentes, reduciendo significativamente el tiempo de detección y contención de amenazas.

Este servicio permite que los equipos internos de TI se concentren en iniciativas estratégicas, mientras especialistas en ciberseguridad realizan la vigilancia continua, el análisis de amenazas y la respuesta coordinada frente a ataques sofisticados.

Prepararse para el futuro de la ciberseguridad

La transformación digital, el crecimiento del trabajo híbrido, la adopción de servicios en la nube y el incremento de los ataques impulsados por inteligencia artificial exigen una evolución constante de las estrategias de protección.

La compañía apuesta por una ciberseguridad proactiva que combina innovación tecnológica, inteligencia artificial, automatización y el respaldo de expertos para ofrecer a las empresas una protección integral frente a un panorama de amenazas en constante cambio.

La integración de tecnologías avanzadas de inteligencia artificial, servicios MDR y soluciones inteligentes de protección permite a las organizaciones fortalecer su resiliencia digital, reducir los riesgos operativos y garantizar la continuidad del negocio en un entorno digital cada vez más complejo.

“La inteligencia artificial está transformando la ciberseguridad desde ambos frentes: mientras los atacantes la utilizan para hacer sus campañas más sofisticadas, nosotros la empleamos para detectar patrones, identificar anomalías y responder con mayor velocidad. La clave está en combinar la tecnología con la experiencia humana para ofrecer una protección realmente efectiva”, finalizó Zúñiga.

Para saber más puede ingresar a WeLiveSecurity, es sitio de noticias de ESET: https://www.welivesecurity.com/es/investigaciones/scarcruft-ataque-cadena-suministro-juegos-malware/

La resiliencia digital, un reto para las pymes tras el aumento de incidentes cibernéticos

La ciberseguridad en las pequeñas y medianas empresas (pymes) no siempre recibe la atención que merece, incluso por parte de las propias organizaciones, y esto resulta preocupante dado que representan el 90 % de las empresas del mundo, el 70 % del empleo global y el 50 % del PBI mundial, según el Foro Económico Mundial (WEF). Un nuevo informe de ESET, compañía líder en detección proactiva de amenazas, detalla qué tan bien están posicionadas las pymes, cuáles son sus mayores desafíos y qué debería ocurrir a continuación.

Para este tipo de organizaciones, la resiliencia cibernética es esencial: es decir, la capacidad de continuar operando y recuperarse incluso durante un incidente grave. La preparación cibernética consiste en implementar procesos y controles que permitan prevenir, detectar y responder a amenaza.

“En muchos aspectos, las pymes no difieren de las grandes empresas. Enfrentan un panorama de amenazas que evoluciona rápidamente, con adversarios que aprovechan las tecnologías más recientes para aumentar el volumen, la escala y la velocidad de los ataques. La superficie de ataque corporativa se amplía con cada nueva herramienta digital y cada inversión tecnológica. Los empleados siguen siendo una fuente de riesgo. Y las empresas deben cumplir con un número creciente de exigencias regulatorias”, comenta Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.

Según el informe de ESET, el 45 % de las pymes sufrió un incidente de ciberseguridad el año pasado, y un porcentaje aún mayor (61 %) teme sufrir un ataque en los próximos 12 meses. Las principales preocupaciones están relacionadas con la pérdida de datos, la interrupción operativa y el impacto financiero.

Estas son las mismas preocupaciones que comparten los dueños de pymes con los CISO y los directorios de las mayores multinacionales. Reflejan el carácter crítico de la preparación cibernética para el negocio y explican por qué la seguridad debe funcionar como una condición operativa: no como una función aislada del área de IT, sino como algo integrado en la cultura y en las operaciones del negocio. Este cambio es clave porque, si bien muchas pymes logran recuperarse, el 34 % aún necesita entre dos y seis semanas para resolver un incidente, un período de impacto operativo que puede resultar devastador para muchas empresas.

El informe también revela que la mayoría de las pymes (73 %) está incorporando inteligencia artificial en su negocio, aun cuando reconoce que esto introduce nuevos riesgos. También existen preocupaciones sobre su potencial en manos equivocadas, de hecho, el malware impulsado por IA es mencionado como la “amenaza más preocupante” por una pluralidad de los encuestados. 

Desde ESET señalan que el malware que utiliza IA de forma automatizada y en tiempo real sigue siendo poco común, pese a lo que puedan sugerir los titulares. Los casos observados son relativamente escasos, lo que lo convierte más en un tema de investigación para especialistas que en una preocupación inmediata para las pymes.

El phishing y las vulnerabilidades sin parchear encabezan la lista de los incidentes de ciberseguridad, según un informe de Verizon, que los señala entre los tres principales vectores de acceso inicial para las pymes. Las contraseñas débiles y la falta de monitoreo de seguridad también ocupan posiciones destacadas en los datos de ESET.

Según el DBIR, el shadow AI es la tercera acción interna no maliciosa más común. La IA y la automatización están ayudando a los actores de amenazas a mejorar sus capacidades y escalar sus operaciones, especialmente en ingeniería social, investigación y explotación de vulnerabilidades y otras amenazas “tradicionales”. Las pymes consultadas por ESET muestran interés en utilizar IA para combatir estas amenazas, anticiparlas antes de que ocurran, identificar y mitigar ataques con mayor rapidez y detectar ingeniería social.

Las pymes que adoptan programas de concientización en ciberseguridad están encaminadas hacia una postura de mayor preparación. Sin embargo, ESET detectó que la adopción de capacitación es más alta entre las empresas que han experimentado múltiples incidentes (81 % frente a 53 %). Estas organizaciones también muestran una mayor confianza en su resiliencia, posiblemente porque adoptaron de forma reactiva medidas de seguridad consideradas buenas prácticas. En este contexto, cuatro de cada cinco encuestados consideran que su presupuesto de seguridad es suficiente o más que suficiente, y la mitad espera que aumente el próximo año. 

La confianza aumentó del 48 % en 2022 al 87 % este año. Para ESET, las pymes deberían seguir enfocándose en:

Tecnologías y procesos con enfoque preventivo, incluyendo capacitación, parches regulares y una gestión sólida de identidades.

Evaluaciones de riesgo realistas y periódicas que ayuden a priorizar inversiones en seguridad.

Respuesta a incidentes que permita una recuperación más rápida y reduzca el impacto en el negocio.

Externalización de capacidades cuando corresponda, como servicios de detección y respuesta gestionadas (MDR).

Mejora del gobierno de IT para reducir el shadow IT y el shadow AI.

A pesar de una gestión presupuestaria cuidadosa, según la encuesta, una cuarta parte de las pymes afirma que contar con más fondos les permitiría mejorar su postura de ciberseguridad con mayor rapidez. La complejidad y la integración siguen siendo desafíos persistentes para quienes disponen de menos recursos. Los encuestados señalan que buscan servicios y soluciones confiables, completos y fáciles de usar.

“Si realmente se busca mejorar la preparación cibernética de las pequeñas empresas, la comunidad de proveedores debería asumir un rol más activo. Aun así, no existe una solución única. Las pymes han demostrado que están bien encaminadas hacia una mayor resiliencia, pero este es un proceso continuo que evolucionará junto con la tecnología y las amenazas. La vigilancia constante y la capacidad de adaptación serán claves a largo plazo” concluye Micucci, de ESET Latinoamérica. 

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/seguridad-corporativa/ciberseguridad-pymes-resiliencia/

Falsas llamadas de emergencia ponen en evidencia riesgos en sistemas críticos

Un supuesto ataque al sistema de alertas de la Defensa Civil, basado en tecnología de difusión celular (Cell Broadcast), provocó el envío de falsas alertas a teléfonos celulares en diversas ciudades brasileñas entre la noche del último viernes (20) y la madrugada del sábado (21), lo que generó preocupación por la seguridad de infraestructuras críticas utilizadas para la protección de la población. ESET, compañía líder en detección proactiva de amenazas, contextualiza el caso y analiza distintas estrategias de protección relacionadas a este tipo de sistemas. 

De acuerdo con un informe emitido por el Gobierno Federal y enviado a la Policía Federal (PF), los primeros envíos se registraron en Río de Janeiro. Posteriormente, residentes de Curitiba, Brasilia, São Paulo, Salvador y otras localidades también recibieron notificaciones clasificadas como “alerta extrema”, considerado el nivel más alto del sistema de alertas de la Defensa Civil. Este tipo de mensaje se utiliza en situaciones de riesgo inminente para la vida, requiriendo que la población adopte medidas de protección de forma inmediata.

En el caso de Río de Janeiro, el mensaje hacía referencia a una supuesta posibilidad de deslizamientos de tierra, información especialmente sensible en una región históricamente afectada por tragedias relacionadas con lluvias intensas. Además, circularon mensajes que mencionaban una supuesta posibilidad de tornado en la región de Belo Horizonte (MG) y otros avisos sin fundamento. Los textos presentaban frases inconexas, campos corruptos y expresiones inusuales, incluyendo referencias a un supuesto “ataque alienígena”.

El incidente ocurre en un momento en el que América Latina enfrenta un aumento sostenido de eventos climáticos extremos. Según la Organización Meteorológica Mundial (OMM), en los últimos años la región ha sido afectada por fenómenos como inundaciones, sequías, huracanes e incendios forestales de gran magnitud, lo que refuerza la importancia de los sistemas de alerta temprana para proteger a la población.

“En este contexto, varios países de la región están adoptando sistemas de alerta basados en Cell Broadcast, una tecnología que permite enviar mensajes masivos a todos los dispositivos móviles en un área específica, sin necesidad de aplicaciones ni conexión a internet”, agrega Jonathan Ramos, investigador de seguridad informática de ESET Latinoamérica.

Algunos casos de implementación en la región son: 

Chile es el caso más consolidado, con su Sistema de Alerta de Emergencia (SAE) plenamente operativo y utilizado regularmente ante desastres naturales, mientras que Brasil ya cuenta con infraestructura de alertas móviles a gran escala, como se evidenció en este incidente.

México ha realizado pruebas durante los últimos años integrando parcialmente Cell Broadcast en su sistema de alerta sísmica. Otros países, como Ecuador, se encuentran en etapas iniciales o pilotos.

Argentina está avanzando en el despliegue de su sistema nacional AlertAR, basado en esta tecnología.

“A medida que los gobiernos adoptan tecnologías más eficientes para alertar a la población, también aumenta la superficie de ataque sobre sistemas críticos. Un sistema de alertas comprometido puede generar pánico, desinformación y eventualmente disminuir la credibilidad de las comunicaciones oficiales en situaciones reales de emergencia”, destaca Ramos de ESET.

Un detalle que llamó la atención en este caso, fue la repetición de la palabra “misantropía” en distintos mensajes, funcionando como una especie de firma dejada por los responsables. El término se utiliza para describir a personas que manifiestan aversión, desconfianza o rechazo hacia la humanidad y la convivencia social.

El caso está siendo investigado por la Defensa Civil Nacional en conjunto con la Agencia Nacional de Telecomunicaciones (Anatel). La sospecha es que el incidente haya involucrado un acceso indebido a la Interfaz de Difusión de Alertas Públicos (Idap), plataforma utilizada por el Ministerio de Integración y Desarrollo Regional (MIDR), con el apoyo de la Defensa Civil Nacional, para el envío de alertas relacionadas con riesgos de desastres naturales y otras emergencias.

En las primeras horas posteriores al incidente, un usuario identificado como “Misantropo”, en la red social X, publicó imágenes y un video adjudicándose la autoría de los mensajes. El material difundido sugiere el uso de una plataforma gubernamental para el envío de las alertas.

En una entrevista con el portal TecMundo, el presunto atacante afirmó haber utilizado credenciales antiguas del Idap que habrían sido expuestas en filtraciones previas. Según su relato, el acceso habría sido obtenido mediante la técnica conocida como credential stuffing, que consiste en la reutilización automatizada de combinaciones de usuario y contraseña previamente comprometidas en otros incidentes.

“Aunque la autoría y los detalles de la invasión aún están bajo investigación, el episodio refuerza la importancia de adoptar mecanismos robustos de autenticación, monitoreo continuo y revisión periódica de credenciales en sistemas considerados críticos para la seguridad pública”, agregan de ESET.

La respuesta de las autoridades fue la desactivación temporal de la plataforma. En un comunicado oficial, la Defensa Civil del estado de São Paulo informó que el mensaje recibido por la población no fue emitido por el organismo y que inició de inmediato procedimientos de verificación junto con la Defensa Civil Nacional, Anatel y otras instituciones involucradas en la operación del sistema. “Hasta el momento, no existe registro de ningún evento que justifique la emisión de una alerta extrema relacionada con el contenido reportado”, afirmó el organismo.

“El incidente evidencia los riesgos asociados a la protección de sistemas gubernamentales responsables de servicios esenciales. Los incidentes cibernéticos en plataformas de infraestructura crítica exponen vulnerabilidades que trascienden la esfera tecnológica, evidenciando fallas en políticas y procedimientos de seguridad. El uso de credenciales supuestamente filtradas refuerza la urgencia de prácticas de gobernanza, como la aplicación del principio de privilegio mínimo, la obligatoriedad de la autenticación multifactor (MFA) y la rotación periódica de contraseñas. Para sistemas de alto impacto social, resulta indispensable la implementación del principio de doble control (Four-Eyes Principle). Esta capa de validación mitiga el riesgo de acciones aisladas, ya sean maliciosas o accidentales, evitando que falsas alertas generen pánico y desinformación y, sobre todo, preservando la confianza de la población en los mecanismos legítimos de protección del Estado”, concluye Jonathan Ramos de ESET.

El resultado de la investigación deberá esclarecer si efectivamente hubo una intrusión en los sistemas de la Defensa Civil o si el incidente fue provocado por el uso indebido de credenciales válidas obtenidas en filtraciones anteriores.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/seguridad-digital/falsas-alertas-emergencia-brasil-acceso-indebido-defensa-civil

Falsas ofertas laborales suplantan a grandes empresas para robar datos personales en Latinoamérica.

La búsqueda de una nueva oportunidad profesional puede ser un momento de expectativa y entusiasmo. Sin embargo, los ciberdelincuentes aprovechan este contexto para llevar adelante estafas cada vez más sofisticadas.  Recientemente, el equipo de investigación de ESET, compañía líder en detección proactiva de amenazas, identificó una campaña de correos electrónicos falsos que usan el nombre de reconocidas empresas como L’Oréal, Coca-Cola y Red Bull, que ofrecen supuestas oportunidades de empleo como anzuelo para captar datos personales. 

Es importante señalar que las empresas afectadas son también víctimas de los ciberdelincuentes ya que son utilizadas como parte de la estafa. Los atacantes aprovechan el reconocimiento de estas marcas para intentar legitimar el engaño y mediante el uso de su imagen aumentar la probabilidad de éxito del fraude. 

“Esta estafa no es nueva, y varios usuarios llevan advirtiendo sobre este mismo fraude desde al menos 2025. En algunos casos, los delincuentes también usaron el nombre de otras empresas, como Meta, y otras compañías para dar credibilidad al esquema”, advierte Mario Micucci, investigador de ESET Latinoamérica.

Correos falsos que suplantan grandes marcas 

La estrategia comienza de forma relativamente sencilla: los delincuentes envían correos electrónicos que parecen haber sido enviados desde alguna oficina de recursos humanos de las empresas suplantadas o por supuestos reclutadores, con una oferta concreta, dirigida a nombre del remitente, para ofrecerle participar en un proceso de selección de personal. 

El mensaje suele presentar una vacante atractiva e incluye un enlace para que la parte interesada avance en las siguientes fases de la solicitud.  

En uno de los casos analizados, podemos observar que el mensaje inicial ya tiene señales de alerta que anuncian que se trata de una comunicación falsa: el nombre mostrado es el de un supuesto reclutador de L'Oréal, la dirección de correo electrónico utilizada no tiene relación con los dominios oficiales de la empresa. 

En algunos casos, como el que detectó ESET que simula ser de Adidas, el remitente es una persona real, que posiblemente los delincuentes investigaron que pertenece a la empresa.  

En este punto, plataformas profesionales como LinkedIn pueden jugar un rol clave: los atacantes pueden recopilar información pública sobre empleados, roles y estructuras internas para hacer más creíble la suplantación de identidad. Lo que les permite personalizar los ataques y aumentar significativamente la tasa de éxito.  

Al hacer clic en el enlace, en los distintos correos que se distribuyeron suplantando a las empresas, el usuario accede a una página que imita un formulario legítimo, similar a los servicios ampliamente utilizados por las empresas para el reclutamiento. La apariencia profesional del sitio contribuye a transmitir una falsa sensación de confianza y legitimidad.  

Este tipo de inconsistencia es una de las principales señales de phishing y debería servir de advertencia para los candidatos.  

Una vez en el sitio, se anima al candidato a entregar información personal y profesional, como nombre, número de teléfono, experiencia profesional y dirección de correo electrónico. Hasta ahora, el proceso parece compatible con una candidatura legítima. 

Falsa verificación de cuenta 

Tras completar el formulario, la víctima es redirigida a una pantalla que imita el proceso de inicio de sesión de Google, con el objetivo de robar credenciales. A simple vista, la interfaz resulta familiar y "profesional", ya que reproduce el diseño típico de selección de cuenta de Google. Sin embargo, al observar con atención, es posible detectar inconsistencias clave, como el dominio del sitio web —que no corresponde a Google—, lo que evidencia que se trata de una página fraudulenta. 

“Un aspecto clave para identificar este tipo de engaños es verificar el dominio en la barra de direcciones: aunque la interfaz imite servicios legítimos como Google, las credenciales solo deben ingresarse en sitios oficiales”, señala el investigador de ESET. 

En este punto se revela el verdadero propósito del engaño: lograr que la víctima, bajo engaño, entregue voluntariamente sus credenciales a los ciberdelincuentes. La página solicitará el acceso al correo electrónico, con la excusa de que se trata de un paso necesario para continuar con el proceso de selección.  

La solicitud previa del correo electrónico no ocurre por casualidad. Al recopilar esta información con antelación, los atacantes pueden personalizar la siguiente fase del engaño y aumentar su credibilidad. 

El uso de interfaces conocidas y visualmente legítimas es una táctica habitual en campañas de phishing, ya que reduce la desconfianza del usuario y aumenta la probabilidad de que entregue sus credenciales. 

“Con acceso a la cuenta de correo electrónico de la víctima, los delincuentes pueden restablecer contraseñas de otros servicios vinculados al correo comprometido; acceder a información personal y profesional almacenada en la bandeja de entrada; enviar mensajes falsos en nombre de la víctima a sus contactos e, incluso, usar la cuenta para difundir nuevas campañas de phishing. Dependiendo de los servicios asociados al correo electrónico, el compromiso también puede resultar en un acceso indebido a cuentas bancarias, redes sociales, plataformas corporativas y otros sistemas sensibles, amplificando significativamente el impacto del ataque”, agrega Micucci.

Para reducir el riesgo de caer en este tipo de fraude, desde ESET señalan que es importante adoptar algunas medidas de seguridad: 

Desconfiar de cualquier proceso de selección que  pida la contraseña del correo electrónico. 

Comprobar cuidadosamente la dirección del remitente y el dominio de los enlaces recibidos. 

Confirmar la existencia de la vacante directamente en los canales oficiales de la empresa. 

Activar la autenticación de dos pasos (MFA) en las cuentas. 

Nunca compartir credenciales de acceso a través de formularios online mensajes recibidos por correo electrónico. 

“Aunque las campañas de phishing que involucran oportunidades de empleo falsas no son nada nuevo, los delincuentes siguen perfeccionando sus técnicas para hacerlas más convincentes. Por lo tanto, ante cualquier proceso de selección que solicite credenciales de acceso o presente inconsistencias en las direcciones de correo electrónico y enlaces utilizados, la recomendación es detener inmediatamente la interacción y verificar la autenticidad de la vacante a través de los canales oficiales de la empresa”, concluye el investigador de ESET. 

Además, desde ESET adviertes que si bien las empresas legítimas pueden solicitar currículums, información de contacto y datos profesionales durante el proceso de reclutamiento. Sin embargo, nunca pedirán la contraseña de una cuenta de correo electrónico como requisito para participar en un proceso de selección. Ante cualquier solicitud de este tipo, detener inmediatamente la interacción y confirmar la autenticidad de la vacante a través de los canales oficiales de la organización.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/estafas-enganos/ofertas-laborales-falsas-phishing-suplantan-grandes-marcas

Falsos sitios de FIFA estafan previo a la Copa del Mundo 2026

ESET, compañía líder en detección proactiva de amenazas, identificó 5 páginas apócrifas que suplantan al máximo organismo del fútbol con la excusa de ofrecer entradas y merchandising de la Copa Mundial 2026. Los estafadores buscan obtener información sensible de sus víctimas, sus datos bancarios y hasta dinero. Estos sitios apócrifos pueden aparecer patrocinados en búsquedas en Google, pero también en anuncios en redes sociales, o incluso llegar por mensajes o correos.

“Si bien informan desde FIFA (ente organizador del evento) que los boletos para todas las fases del torneo están “disponibles exclusivamente en FIFA.com/tickets”,  desde ESET encontramos cinco sitios falsos que se hacen pasar por el sitio oficial de Copa del Mundo 2026 de la FIFA”, comenta Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica. 

ESET analiza cada uno de estos sitios que imitan el sitio oficial, de manera de ayudar a identificarlos:

Sitio falso N°1: “fifa26.shop”, busca engañar a sus víctimas desde la similitud de su URL con la oficial. Utiliza la técnica llamada Typosquatting que se caracteriza por crear dominios idénticos a los legítimos, con modificaciones sutiles (cambio, omisión o adición de caracteres, o uso de números en vez de letras).

La página imita con exactitud a la de FIFA: desde su diseño, colores y disposición, a las pestañas que permiten recorrer el resto del sitio. Logra replicar el flujo de la web oficial, haciendo sentir a la víctima que la experiencia es legítima. Esto confirma que los ataques de phishing de hoy buscan copiar experiencias completas para generar confianza.

En caso de que la víctima desee avanzar con la compra de entradas o merchandising, la página falsa solicita el registro de la persona. Lo riesgoso, según ESET, es que copia al detalle a la página oficial de la FIFA, que también pide registro. Aprovecha así un elemento clave como el FIFA ID, para generar confianza: 

Este sitio apócrifo, además, se vale de la promesa de la venta de merchandising para engañar a sus víctimas. La similitud con el sitio oficial es clara, al punto que ofrece camisetas de todas las selecciones participantes y permite seleccionar cualquier producto y agregarlo al carrito de compra:

En caso de que la víctima ingrese los datos de su tarjeta, ESET advierte que no se obtendrá ninguna camiseta, sino que se entrega información confidencial al actor malicioso detrás del sitio apócrifo:

Si la víctima continua el proceso, sus datos bancarios viajarán a las manos del cibercriminal detrás del sitio falso, sin obtener ninguna entrada para la Copa Mundial.

Sitio falso N°2: “26-fifa.com”. Al igual que el ejemplo anterior, busca a través de la URL no levantar sospechas, aprovechando su similitud con la web oficial. El diseño de la web falsa en general, como las pestañas para navegar son idénticas a la web oficial de la FIFA.  

Se le pide a la víctima que se registre (que entregue sus datos personales), para después habilitar la supuesta compra de entradas y merchandising del Mundial. Al obtener el nombre completo de la víctima, su email, teléfono y contraseña, el ciberatacante puede iniciar un ataque de robo de identidad. Desde ESET alertan que dado que muchas personas reutilizan contraseñas en distintos servicios, por lo que entregar credenciales en una página falsa puede derivar en accesos indebidos a correos electrónicos, redes o plataformas bancarias.

Sitio falso N°3: “fifa*.site”, otro sitio falso que imita diseño de la web oficial de FIFA. El objetivo es claro, a través del uso de colores, tipografías y elementos visuales, busca generar una reacción automática de confianza en el usuario, especialmente en contextos donde la ansiedad por conseguir entradas puede reducir la atención a señales de alerta.

Sitio falso N°4: “fifa*.store”. En estos sitios de phishing los ciberatacantes suelen aprovechar extensiones como “.store” o “.shop” para reforzar la apariencia comercial del sitio. “A simple vista, las víctimas pueden interpretar estas URLs como legítimas, especialmente porque los dominios falsos incluyen la palabra “fifa”, un recurso frecuente en campañas de suplantación de identidad.”, agrega Miccuci de ESET.

Sitio falso N°5, “fifa*.shop”. Esta similitud de técnicas demuestra para ESET que no se tratan de casos aislados, sino de campañas organizadas. “Los actores maliciosos suelen registrar diversas variantes de una misma página para maximizar el alcance del engaño y así mantener operativa la campaña incluso si algunos dominios son dados de baja. Esta lógica del phishing es cada vez más frecuente en eventos masivos y de alta exposición mediática, como lo es la Copa Mundial de Fútbol 2026.”, refuerza el investigador de ESET.

No es novedad que los cibercriminales aprovechan la fiebre mundialista. Hasta la FIFA está al tanto de las estafas y engaños que pueden sucederse alrededor del evento de fútbol más importante del mundo. En su página web, el organismo es terminante a la hora de analizar si existe algún riesgo al comprar boletos para la Copa Mundial fuera del sitio oficial: “Sí, existen riesgos al adquirir boletos fuera del sitio oficial. La FIFA recomienda que todas las compras se realicen exclusivamente en FIFA.com/tickets”. En primer término, aclara que “los boletos adquiridos en sitios de reventa no oficiales, redes sociales o a través de terceros pueden ser falsos. Aunque parezcan legítimos, estos boletos fraudulentos se podrían rechazar en la entrada del estadio”.

ESET comparte puntos clave a tener en cuenta para no ser víctimas de estos sitios de phishing:

1 – Verificar la URL: Para todo lo referente a compras vinculadas a la Copa Mundial, se debe visitar el sitio oficial: https://fifa.com. Prestar atención frente a sitios que quieran confundir con su similitud, que agregan palabras, guiones o extensiones como “.shop”, “.store” o “.site”. Cualquier mínima diferencia es un gran indicio de estafa.

2 – No hacer clic en anuncios: Los sitios falsos suelen promocionarse a través de anuncio y patrocinio en redes sociales y apps de mensajería. El consejo es ingresar manualmente a los sitios de confianza, y no a través de links, anuncios promocionales, o compartidos por terceros.

3 - Desconfiar de ofertas “exclusivas” o “imposibles”: La urgencia, la ansiedad, la oportunidad son anzuelos que los ciberdelincuentes suelen utilizar para que sus estafas sean más efectivas. En el contexto de la Copa Mundial, lo hacen a través de frases como “cupos limitados”, “acceso VIP” o “descuentos en entradas”. La máxima es desconfiar de todo lo que parezca demasiado bueno como para ser verdad.

“Los casos encontrados son la clara muestra de una tendencia cada vez más preocupante frente a eventos masivos, los sitios falsos ya no son páginas rudimentarias, improvisadas o fáciles de detectar: hoy replican diseños, experiencias de usuario y flujos de compra completos para parecer legítimos y reducir las sospechas de las víctimas. La principal defensa sigue siendo la atención: desde verificar la URL, desconfiar de aquellas ofertas “imposibles”, hasta acceder únicamente a canales oficiales. Porque durante la fiebre mundialista, no solo hay que estar atentos a lo que pasa dentro de la cancha, sino también fuera de ella”, concluye Mario Micucci de ESET. 

Para saber más puede ingresar a WeLiveSecurity, es sitio de noticias de ESET: https://www.welivesecurity.com/es/