Con el FIFA World Cup 2026 a poco más de dos semanas de su inicio, los ciberdelincuentes ya están aprovechando la efervescencia global del torneo para lanzar campañas de engaño altamente elaboradas. Check Point Research (CPR) identificó una operación de suplantación de identidad que imita la plataforma oficial de hospitalidad de la FIFA a través de dominios recién registrados, diseñados para robar información personal y datos de pago de fanáticos que buscan adquirir paquetes para el torneo.
El hallazgo ocurrió horas después de que el FBI emitiera una advertencia pública sobre la proliferación de sitios fraudulentos relacionados con el Mundial, alertando sobre estafas de ticketing, hospitalidad y servicios de viaje dirigidos a hinchas y viajeros. Para Chile, donde el interés por el torneo es alto y muchos aficionados explorarán opciones de viaje y experiencias oficiales en línea, el riesgo es concreto: los atacantes saben que la urgencia y la emoción reducen el escrutinio de los usuarios al momento de ingresar sus datos.
Los investigadores de CPR documentaron dominios específicos como www-fifa[.]me, www-fifa[.]co, 26-fifa[.]com y op.shop-26fifa[.]com, todos replicando el diseño y la marca oficial de la FIFA. Los sitios guiún a las víctimas a través de un proceso de registro y compra que aparenta ser legítimo, hasta el momento en que solicitan credenciales de pago. Varios de los dominios compartieron infraestructura idéntica e incluso repitieron el mismo error tipográfico en un mensaje emergente, lo que sugiere que forman parte de una campaña coordinada.
Uno de los sitios reveló además un posible vínculo con actores de habla china: un error expuesto en el backend filtró texto de depuración en chino con el mensaje ‘variable indefinida’, mientras que la variable asociada usaba la denominación ‘datas’, inusual para desarrolladores angófonos nativos que supuestamente operarían una plataforma oficial en América del Norte. Si bien la atribución definitiva aún no es concluyente, los indicadores técnicos apuntan en esa dirección.
Omer Dembinsky, Data Research Group Manager de Check Point, advirtió que ‘los actores de amenazas se están moviendo rápidamente para capitalizar la atención global en torno al FIFA World Cup 2026, usando plataformas falsas de hospitalidad y ticketing para extraer información sensible y datos de pago de los usuarios’. Dembinsky agregó que ‘estas campañas demuestran cómo los ciberdelincuentes combinan cada vez más la suplantación de marcas, la ingeniería social y contenido asistido por inteligencia artificial para hacer las estafas más convincentes y escalables’.
En paralelo, el equipo de Email Security de Check Point identificó y bloqueó múltiples campañas de scam temáticas del Mundial en las últimas dos semanas. Los atacantes distribuyeron correos electrónicos fraudulentos que suplantaban promociones de Visa, programas de lotería de la FIFA y el sistema oficial de transferencias de jugadores (FIFA Transfer Matching System, TMS), utilizado por clubes de todo el mundo, incluidos los latinoamericanos. Este tipo de mensajes mezcla ingeniería social con phishing para eludir los filtros de seguridad convencionales.
Cristian Vásquez, Territory Manager de Check Point para Chile, señaló que eventos de esta magnitud se han convertido en un vector de ataque predilecto para los ciberdelincuentes. ‘En Chile, donde los hinchas siguen de cerca cada novedadad del torneo y muchos buscarán viajar o adquirir experiencias oficiales en línea, es fundamental estar alertas. Los atacantes explotan la emoción del momento y la urgencia de no quedarse fuera para lograr que las personas bajen la guardia e ingresen sus datos en sitios fraudulentos’, afirmó Vásquez.
Recomendaciones para usuarios
- Verificar siempre que el dominio corresponda exactamente al sitio oficial de la FIFA (fifa.com) antes de ingresar datos personales o de pago.
- Desconfiar de correos electrónicos que ofrezcan sorteos, premios o descuentos relacionados con el Mundial, especialmente si solicitan hacer clic en un enlace o descargar un archivo.
- No ingresar credenciales bancarias o de tarjeta en sitios que hayan llegado a través de un enlace recibido por correo o redes sociales.
- Activar la autenticación de dos factores en cuentas de correo y servicios de pago en línea.
- Reportar sitios sospechosos a la plataforma oficial de la FIFA o al CSIRT de Chile (csirt.gob.cl).
