El pasado 1 de mayo, el FBI anunció el resultado de una de las mayores investigaciones en el panorama del cibercrimen reciente: el descubrimiento de 42.000 dominios de phishing vinculados a LabHost, una de las plataformas más sofisticadas de phishing-as-a-service (PhaaS) conocidas hasta la fecha. Esta muestra es solo la punta del iceberg de una operación cibercriminal que operó a escala global durante casi tres años, permitiendo ataques masivos a individuos, empresas y organismos públicos.
Con esta acción, las autoridades dan un golpe contundente a la industria del cibercrimen como servicio, que ha evolucionado de manera alarmante en los últimos años, adoptando modelos de negocio similares a los de cualquier SaaS legítimo.
¿Qué es LabHost y cómo operaba?
La plataforma LabHost de phishing descubierta por el FBI se consolidó rápidamente, desde su aparición en 2021, como uno de los principales proveedores de servicios de phishing a medida. Por una tarifa, cualquier ciberdelincuente —con experiencia o sin ella— podía acceder a un ecosistema completo para realizar ataques sofisticados.
El catálogo de servicios incluía:
-
Plantillas de phishing personalizadas para más de 200 entidades legítimas, desde bancos y servicios postales hasta plataformas de streaming y agencias gubernamentales.
-
Infraestructura alojada para sitios fraudulentos.
-
Herramientas de smishing (phishing vía SMS).
-
Funcionalidad “Adversary-in-the-Middle” (AiTM) para interceptar códigos 2FA en tiempo real.
Este modelo permitió que hasta 10.000 usuarios activos realizaran campañas masivas sin necesidad de conocimientos técnicos avanzados, democratizando el delito digital como nunca antes.
42.000 dominios y millones de víctimas
La operación liderada por el FBI, en colaboración con cuerpos policiales internacionales, ha permitido identificar y desmantelar una red de 42.000 dominios maliciosos registrados para facilitar el phishing. Estas direcciones suplantaban entidades conocidas para engañar a los usuarios y robar datos confidenciales.
Según los investigadores, LabHost llegó a almacenar más de un millón de credenciales robadas y cerca de 500.000 tarjetas de crédito comprometidas, lo que refleja el nivel de daño causado en términos de fraude financiero y su impacto económico.
Los dominios fueron identificados tras incautar los servidores de apoyo de LabHost durante la operación policial, que también permitió a los investigadores mapear cómo funcionaba la red y qué tipo de datos se recolectaban.
Phishing-as-a-service: el negocio del cibercrimen moderno
Lo preocupante del caso LabHost no es solo su escala, sino el modelo de negocio detrás de la operación. Plataformas como esta han replicado prácticas típicas del software comercial: suscripción mensual, soporte técnico, atención al cliente, actualizaciones constantes y servicios complementarios.
Este enfoque profesionalizado ha contribuido a facilitar el acceso y ampliación del cibercrimen, permitiendo que individuos sin conocimientos técnicos realicen campañas altamente efectivas. Es la evolución del malware como producto, donde la capacidad para delinquir se compra como cualquier otra suscripción digital.
Además, el uso de AiTM para interceptar credenciales y tokens de autenticación en tiempo real marca una peligrosa escalada en las capacidades de los atacantes.
El impacto de LabHost es difícil de medir con precisión, pero sus huellas son globales. Las organizaciones afectadas pueden no haberse dado cuenta nunca de que sus empleados o clientes fueron blanco de campañas dirigidas con herramientas de esta plataforma.
Una alerta crítica para la ciberseguridad global
El FBI ha emitido una alerta pública de tipo FLASH, dirigida a responsables de ciberseguridad corporativos y gubernamentales, con un objetivo claro: detectar posibles compromisos pasados o actuales relacionados con los dominios descubiertos.
En la alerta, el Buró recomienda:
-
Revisar registros históricos de red para identificar conexiones con cualquiera de los 42.000 dominios implicados.
-
Iniciar investigaciones internas y respuestas a incidentes si se detectan vínculos.
-
Considerar la inclusión de estos dominios en listas negras a nivel corporativo.
-
Reportar actividad sospechosa directamente a las oficinas locales del FBI.
Aunque muchos de los dominios ya no están activos, el historial de tráfico hacia estas direcciones es en sí mismo un indicador de compromiso (IoC) que no debe pasarse por alto.
