Estafas como servicio: cómo se venden engaños dirigidos a argentinos

Las estafas como servicio permiten que delincuentes sin conocimientos técnicos avanzados compren o alquilen páginas falsas, sistemas de pago simulados y otras herramientas para engañar a usuarios argentinos. El fenómeno fue analizado por Anton Dolgalev, investigador de la empresa de ciberseguridad Group-IB, durante la edición 22 de Ekoparty.

La investigación estudió seis categorías de servicios criminales activos o dirigidos a distintos mercados de América Latina. Según la exposición, el modelo divide las tareas: algunos actores desarrollan y mantienen la infraestructura, mientras otros buscan víctimas, sostienen las conversaciones y ejecutan el fraude.

Estafas como servicio dirigidas a vendedores: cómo funciona el engaño

El esquema más habitual comienza con una publicación de venta en internet. Un supuesto comprador se contacta con el vendedor, afirma que ya realizó el pago y envía un comprobante falso o un enlace para completar la operación.

El enlace conduce a una página que imita el aspecto de un servicio legítimo. Allí, la víctima puede ser inducida a ingresar datos personales, información de pago u otras credenciales. La clave del modelo es que quien mantiene la conversación no necesita haber creado el sitio utilizado en el engaño.

De acuerdo con Dolgalev, plataformas como Classiscam ofrecen páginas fraudulentas preparadas para distintos países, servicios y monedas. De ese modo, los operadores pueden concentrarse en encontrar posibles víctimas y convencerlas de seguir las instrucciones.

Qué lugar ocupa Argentina en el modelo de fraude

En la muestra de operaciones latinoamericanas rastreadas dentro de Classiscam, Argentina representó el 14,3%, la misma proporción que Chile. El dato corresponde a la actividad observada en esa plataforma y no equivale a una medición de todas las estafas digitales registradas en el país.

Los investigadores también detectaron páginas y dominios preparados para imitar a servicios conocidos en Argentina, entre ellos Mercado Libre y Mercado Pago. La presencia de esas marcas en los engaños no implica una vulnerabilidad de sus sistemas. Según la explicación presentada, los delincuentes las utilizan porque forman parte de las operaciones habituales de los usuarios.

La adaptación local puede incluir la marca que se intenta imitar, la moneda mostrada y la forma en que se presenta la transacción. El mecanismo general, sin embargo, puede reutilizarse en otros países con bancos, plataformas de pago y servicios diferentes.

Telegram como punto de operación para los delincuentes

Entre las herramientas descritas aparecen bots de Telegram capaces de generar páginas fraudulentas y permitir la selección del servicio que se quiere imitar y de la moneda de la operación. Esto reduce el trabajo técnico necesario para poner en marcha una campaña.

La plataforma de mensajería también puede funcionar como espacio de coordinación entre proveedores de infraestructura y operadores que buscan víctimas. La investigación presentada en Ekoparty ubica esa división de tareas dentro de un esquema con proveedores, clientes, afiliados, permisos y pagos automatizados.

Que una herramienta pueda configurarse mediante un bot no significa que cada operación tenga el mismo alcance ni que todos los servicios sean idénticos. El punto señalado por Group-IB es que la disponibilidad de componentes listos para usar baja la barrera de entrada para quienes participan del fraude.

El crimen como servicio no se limita al phishing

La investigación también incluyó ofertas de malware, accesos a computadoras infectadas y sistemas de fraude telefónico. El ransomware, un tipo de software malicioso utilizado para bloquear o robar información con fines extorsivos, fue mencionado como uno de los negocios que adoptaron durante años una lógica de afiliados y servicios tercerizados.

Entre los casos estudiados aparece BraZetsu, orientado a obtener información bancaria y relacionada con software empresarial en computadoras de Brasil. También se mencionó Balonx Sistema, que apunta a instituciones financieras mexicanas mediante páginas de phishing adaptadas a ese mercado.

Estos ejemplos muestran que el componente regional no está necesariamente en el origen del modelo comercial. Según Dolgalev, la modalidad existe a nivel internacional, mientras que su adaptación latinoamericana se observa en la elección de empresas, sistemas financieros y transacciones cotidianas de cada país.

Qué cambia con la inteligencia artificial

La investigación identificó además a CallFlow, una herramienta de fraude telefónico en desarrollo que combina un modelo de lenguaje, reconocimiento de voz y voz sintética. De acuerdo con la presentación, el sistema puede manejar hasta 30 llamadas en simultáneo.

La incorporación de estas tecnologías puede automatizar tareas que antes requerían operadores humanos individuales. La información disponible describe una capacidad de la herramienta estudiada, pero no permite afirmar que todas las campañas de fraude telefónico utilicen inteligencia artificial ni que tengan el mismo nivel de automatización.

Para empresas y usuarios, la consecuencia práctica es que una llamada o un mensaje con lenguaje convincente no alcanza para validar la identidad del interlocutor. La comprobación debe realizarse por canales oficiales y sin utilizar enlaces o números proporcionados dentro del contacto sospechoso.

El caso iServer y la doble participación argentina

Argentina aparece en la investigación de Group-IB como un mercado atacado por servicios criminales y también como lugar de origen del administrador de una plataforma utilizada internacionalmente.

El caso mencionado es iServer, un servicio que permitía crear páginas falsas para obtener credenciales y códigos de desbloqueo de teléfonos robados. Según el informe de Group-IB sobre iServer, la investigación derivó en 2024 en la Operación Kaerb, coordinada por Europol y Ameripol, con la detención del administrador argentino de la plataforma.

Los investigadores reportaron aproximadamente 483.000 víctimas en todo el mundo. Esa cifra es global y no identifica cuántas personas afectadas correspondían a Argentina. La diferencia resulta relevante para no presentar el número como una medición del daño local.

La fuente original de esta reconstrucción es la cobertura de Clarín sobre la presentación de Group-IB en Ekoparty. La exposición describe un mercado criminal con tareas separadas: unos actores desarrollan las herramientas y otros las utilizan para contactar víctimas.

Qué deberían comprobar empresas y usuarios antes de pagar

El patrón analizado permite identificar señales concretas: un comprador que apura la operación, un supuesto comprobante que exige abrir un enlace, una página que solicita datos fuera del circuito habitual o una instrucción para confirmar un pago mediante un sitio diferente.

Antes de continuar, el vendedor puede revisar el estado de la operación desde la aplicación o el sitio oficial del servicio utilizado, sin ingresar mediante el enlace recibido. También es prudente evitar el intercambio de códigos, contraseñas o datos de tarjetas dentro de una conversación iniciada por un desconocido.

La industrialización del fraude no elimina la responsabilidad de verificar cada operación, pero explica por qué los engaños pueden presentarse con una apariencia local y convincente sin que el delincuente haya desarrollado la infraestructura. Para las empresas, el riesgo exige informar a sus equipos y clientes sobre los canales oficiales, mientras que para los usuarios la comprobación independiente sigue siendo el control más inmediato.

Para ampliar las señales de prevención en operaciones a distancia, podés leer nuestro artículo sobre cómo reconocer estafas por internet al alquilar.