- Miles de dominios falsos de FIFA ya esperan a los desesperados aficionados al fútbol
- Los estafadores han clonado el sistema de inicio de sesión de la FIFA con una precisión visual casi perfecta para robar credenciales
- Los anuncios de Facebook son víctimas directas de la estafa de entradas para el Mundial
Más de 6 millones de aficionados llenarán los estadios de Estados Unidos, Canadá y México cuando comience la Copa Mundial de la FIFA 2026 en junio.
La gran escala de la demanda de billetes creó las condiciones ideales para operaciones de fraude sofisticadas.
Según los investigadores del Group-IB, han identificado más de 4.300 dominios fraudulentos que se hacen pasar por la presencia web oficial de la FIFA desde agosto de 2025, y algunos de estos dominios han permanecido inactivos durante casi un año, esperando a los fanáticos frustrados.
El escándalo del estadio fantasma
Un actor de amenazas de habla china conocido como Ghost Stadium se encuentra en el centro de este ecosistema de fraude.
Este grupo con motivación financiera creó un clon perfecto en píxeles del sitio web oficial de la FIFA utilizando un kit de phishing compartido.
El sitio falso replica el flujo de inicio de sesión legítimo de PingIdentity con una precisión casi perfecta.
Quienes acceden a estas páginas ven la marca auténtica cargada directamente desde la propia red de distribución de contenido de la FIFA.
El sistema cambia automáticamente entre once idiomas según la configuración del navegador del visitante.
“Los grandes eventos deportivos son un imán para el fraude. La enorme demanda, las entradas limitadas y el miedo a perderse el partido de su país presionan a los aficionados para que actúen con rapidez. Los estafadores lo saben”, afirmó Yuan Huang, líder global de inteligencia contra fraudes en Group-IB.
“Identificamos más de 4.300 dominios fraudulentos preparados para explotar a los aficionados que buscan entradas haciéndose pasar por la presencia web oficial de la FIFA, algunos de los cuales permanecen inactivos desde 2025”.
Los anuncios de Facebook actúan como una trampa principal para los desprevenidos aspirantes a entradas
Estos anuncios muestran precios con grandes descuentos y temporizadores de cuenta atrás para crear una urgencia artificial.
Al hacer clic en el anuncio, los visitantes acceden a una página de alojamiento falsa con un botón destacado de “Comprar ahora”.
Se engaña a las personas que ya tienen entradas válidas para que inicien sesión: sus credenciales se entregan directamente al atacante.
Luego, el estafador cambia la contraseña de la cuenta, bloquea al propietario legítimo y revende el boleto original para obtener ganancias.
Los nuevos compradores sin billetes existentes se enfrentan a un camino diferente pero igualmente devastador.
Completan un formulario de pago detallado que captura su nombre completo, dirección, número de teléfono y detalles de la tarjeta de pago.
Los estafadores reciben dinero a través de al menos cinco canales diferentes, incluida la captura directa de tarjetas, aplicaciones peer-to-peer como Chime y Neki y conversión de criptomonedas a través de Alchemy Pay. No llegan boletos después de realizar el pago.
Ghost Stadium no funciona solo en este espacio. Cuatro actores de amenazas independientes están ejecutando simultáneamente seis esquemas de fraude paralelos.
Estos incluyen plataformas de transmisión falsas que exigen tarifas de suscripción, tiendas de productos falsos dirigidas a los mercados latinoamericanos y sitios de apuestas sin licencia que recopilan escaneos de pasaportes para fraude de identidad.
Más de 2.500 pares de credenciales de cuentas de FIFA ya están circulando en los mercados de la web oscura a un precio de entre 5 y 50 dólares el par.
Cómo mantenerse seguro
Las pérdidas financieras sólo por el fraude de billetes premium se estiman entre 71 y 474 millones de dólares.
Para estar seguros, el enfoque más seguro es asumir que cualquier oferta de entradas fuera de los canales oficiales conlleva un riesgo significativo.
Verifique la ortografía correcta del dominio antes de ingresar cualquier credencial. El sitio oficial es fifa.com sin guiones ni terminaciones alternativas.
Habilite inmediatamente la autenticación multifactor en su cuenta FIFA y cambie su contraseña si no lo ha hecho recientemente.
No hagas clic en los anuncios de entradas que aparecen en Facebook, Instagram o Telegram, por muy atractivo que sea el descuento.
Tomarse un momento adicional para verificar antes de comprar puede evitar pérdidas financieras y personales considerables.
Siga TechRadar en Google News Y Agréganos como fuente preferida Recibe noticias, reseñas y opiniones de nuestros expertos en tu feed.
