Una nueva campaña de phishing contra usuarios de Telegram ha vuelto a poner el foco en la evolución de las estafas digitales. No es un fraude cualquiera. Esta vez, los atacantes no roban contraseñas ni códigos SMS mediante páginas falsas clásicas, sino que aprovechan los propios mecanismos legítimos de inicio de sesión de la plataforma para tomar el control de las cuentas sin generar alertas inmediatas.
Estamos ante un salto cualitativo en las técnicas de suplantación: el engaño no está tanto en la tecnología como en la forma en la que se manipula la confianza del usuario y se normaliza una acción rutinaria que parece completamente oficial.
Adiós a las contraseñas robadas: el phishing se vuelve “legal”
Tradicionalmente, el phishing en servicios de mensajería se basaba en clonar páginas de inicio de sesión. El usuario introducía su número de teléfono, su contraseña o el código de verificación, y esa información acababa directamente en manos de los atacantes. Aunque seguía siendo efectivo, también resultaba relativamente fácil de detectar para filtros de seguridad y usuarios más experimentados.
La campaña actual funciona de otra manera. En lugar de robar credenciales, los atacantes consiguen que la propia víctima autorice un inicio de sesión real iniciado desde el dispositivo del criminal. El usuario no entrega sus datos: valida una sesión activa sin ser consciente de ello.
Este detalle lo cambia todo. Desde el punto de vista de Telegram, no hay un acceso ilegal ni una vulnerabilidad explotada. El sistema simplemente registra que el propietario de la cuenta ha aprobado un nuevo dispositivo.
Páginas falsas que imitan verificaciones de seguridad
El primer contacto suele producirse a través de enlaces que conducen a páginas web fraudulentas alojadas en dominios temporales. Estas páginas imitan con gran precisión la estética y el lenguaje de Telegram, hasta el punto de que resultan prácticamente indistinguibles para un usuario medio.
En ellas se ofrecen opciones habituales de acceso: iniciar sesión mediante código QR o introducir manualmente el número de teléfono. Todo parece normal. Sin embargo, detrás de esa interfaz no hay una base de datos para robar información, sino un sistema diseñado para conectar con el proceso de autenticación real de Telegram.
Cuando el usuario interactúa con la página, lo que ocurre en segundo plano es que se activa una solicitud de inicio de sesión previamente iniciada por el atacante desde su propio dispositivo.
El engaño clave: “verificar tu cuenta”
Uno de los elementos más efectivos del ataque es el uso del lenguaje. Según el análisis de los investigadores de Cyfirma, los mensajes están cuidadosamente formulados para presentarse como controles de seguridad rutinarios.
En lugar de hablar de “inicio de sesión”, las páginas y notificaciones utilizan expresiones como “verificación de identidad”, “actividad inusual” o “comprobación de seguridad”. El usuario recibe entonces una notificación dentro de la aplicación oficial de Telegram pidiéndole que confirme la acción.
Ese es el momento crítico. Al tratarse de un aviso dentro de una app legítima, muchos usuarios no sospechan. Creen que están protegiendo su cuenta cuando, en realidad, están autorizando el acceso total a un tercero.
Acceso inmediato y persistente a la cuenta
Una vez aprobada la solicitud, el atacante obtiene una sesión completamente válida y persistente. No necesita contraseñas adicionales ni exploits técnicos. Puede acceder a los mensajes, grupos y contactos de la víctima sin levantar alarmas claras.
Este acceso suele mantenerse incluso si el usuario cambia posteriormente su contraseña, ya que la sesión ya ha sido autorizada. Desde ahí, los atacantes pueden espiar conversaciones privadas, recopilar información sensible y utilizar la cuenta comprometida para lanzar nuevas estafas.
El impacto se multiplica cuando el fraude se propaga a través de mensajes enviados desde cuentas reales, con historial y relaciones de confianza. Los contactos de la víctima son mucho más propensos a caer en el engaño.
