Una nueva campaña de phishing está suplantando la identidad de Avast mediante una página web fraudulenta que imita casi a la perfección su portal oficial. El objetivo es claro: robar los datos de tarjetas bancarias haciendo creer a las víctimas que han sido cargadas con 499,99 euros por una suscripción inexistente.
Avast es una empresa internacional de ciberseguridad fundada en la República Checa en 1988. Desarrolla software antivirus, herramientas de protección online y soluciones de privacidad para usuarios y empresas. Su producto más conocido es Avast Antivirus, uno de los más instalados del mundo en dispositivos Windows y Android.
La web falsa reproduce el logotipo original de la compañía —extraído desde su propia red de distribución de contenidos— e incluye secciones aparentemente legítimas como “Home”, “My Account” o “Help”. En el centro de la página aparece un aviso destacado que informa de un supuesto cargo realizado “hoy” por valor de 499,99 euros.
La fecha se genera automáticamente en función del reloj del dispositivo de la víctima, lo que provoca que cualquier visitante vea el cobro como reciente. El mensaje añade presión psicológica: afirma que el usuario dispone de 72 horas para cancelar el pago, aunque al mismo tiempo indica que las transacciones con más de 48 horas no pueden revertirse. La contradicción es intencionada y busca generar urgencia y confusión.
El falso reembolso para capturar los datos de la tarjeta
Bajo el supuesto recibo aparece un formulario de “reembolso” que solicita datos personales completos: nombre, dirección, teléfono y correo electrónico. Tras rellenarlo, el sistema muestra una ventana emergente donde se piden el número de tarjeta, la fecha de caducidad y el código CVV con la excusa de tramitar la devolución.
No existe ningún cargo real. Todo el proceso está diseñado para obtener la información financiera de la víctima.
Para reforzar la apariencia de legitimidad, la página utiliza el algoritmo de Luhn, el mismo sistema matemático que emplean las entidades financieras para validar la estructura de los números de tarjeta. Esto hace que el formulario rechace combinaciones incorrectas y aumente la credibilidad del fraude.
Una vez introducidos, los datos se envían a un script controlado por los atacantes. Posteriormente, el usuario recibe un mensaje indicando que su solicitud está siendo procesada. Incluso se incluye un botón que simula la desinstalación del antivirus, un intento adicional de debilitar la protección del dispositivo.
Chat en directo para aumentar la eficacia del fraude
La campaña va un paso más allá al incorporar un sistema de chat en vivo que permite a los operadores interactuar en tiempo real con las víctimas para hacer todo mucho más creible. De este modo, pueden resolver dudas, tranquilizar a usuarios desconfiados o presionar para completar el proceso de “reembolso”.
La estafa está dirigida principalmente a usuarios francófonos, pero el mecanismo podría adaptarse fácilmente a otros idiomas y mercados.
Cómo evitar caer en esta estafa de phishing
Los expertos recuerdan que ninguna empresa legítima solicita el código CVV por correo o a través de formularios externos para gestionar reembolsos. También es una señal clara de fraude la aparición de cargos urgentes con fecha “de hoy” que no han sido previamente notificados por el banco.
Si una persona ya ha introducido los datos de su tarjeta, debe contactar de inmediato con su entidad bancaria, cancelar la tarjeta y vigilar posibles movimientos sospechosos. Además, se recomienda realizar un análisis completo del sistema con herramientas de seguridad reconocidas como Microsoft Defender.
La campaña demuestra que el phishing actual no solo se basa en correos electrónicos mal redactados, sino en réplicas técnicas sofisticadas que combinan ingeniería social, automatización dinámica y validaciones bancarias reales para aumentar su tasa de éxito en la que desgraciadamente caen muchas personas en todo el mundo.
