El Mundial de Fútbol de 2026 no solo será uno de los grandes eventos deportivos del año. También se ha convertido ya en una oportunidad para los ciberdelincuentes, que están aprovechando el interés global por la competición para lanzar estafas de diferentes tipos: campañas de phishing, crear tiendas falsas y vender entradas fraudulentas.
El torneo, que se celebrará en Estados Unidos, México y Canadá, atraerá la atención de millones de aficionados en todo el mundo. Esa enorme expectación lo convierte en un objetivo perfecto para las estafas digitales. Los atacantes buscan robar datos personales, credenciales, información bancaria y pagos de usuarios que intentan comprar camisetas, productos oficiales o entradas para los partidos.
Según un informe de Recorded Future citado por Cyber Security News, la explotación de la marca del Mundial ya está en marcha. Sus investigadores han detectado dominios falsos relacionados con la FIFA, tiendas fraudulentas, campañas de anuncios engañosos y páginas diseñadas para suplantar sitios oficiales.
Tiendas falsas que imitan a la FIFA
Una de las campañas detectadas durante abril y mayo de 2026 incluía una red de 33 dominios fraudulentos relacionados con el Mundial. Estos sitios estaban conectados con unos 2.500 anuncios online, especialmente en plataformas como Meta.
El objetivo era atraer a aficionados que buscaban productos oficiales del torneo. Las webs imitaban la apariencia de tiendas legítimas de la FIFA, pero en realidad estaban diseñadas para quedarse con el dinero de la compra y recopilar los datos de pago de las víctimas.
El usuario realizaba el pedido, introducía su información personal y bancaria, pero el producto nunca llegaba. En ese momento, los atacantes ya tenían en su poder datos sensibles que podían utilizar para fraude financiero o vender en mercados clandestinos.
Más de 1.100 dominios sospechosos
La actividad fraudulenta no se limita a unas pocas páginas aisladas. Desde el 1 de abril de 2026, los investigadores de Insikt Group detectaron más de 1.100 dominios sospechosos que contenían las palabras “World” y “Cup”.
También identificaron más de 600 dominios typosquat que imitaban a fifa.com. Este tipo de técnica consiste en registrar direcciones web muy parecidas a la oficial, aprovechando errores de escritura o pequeñas variaciones que pueden pasar desapercibidas para el usuario.
Además, se localizaron 260 dominios que combinaban la marca FIFA con nombres de ciudades anfitrionas. Este recurso busca dar más credibilidad a las estafas, ya que muchos aficionados pueden estar buscando información concreta sobre partidos, sedes, entradas o actividades relacionadas con la ciudad donde se celebrará el encuentro.
La inteligencia artificial acelera el fraude
Una de las diferencias respecto a mundiales anteriores es el papel de la inteligencia artificial. Los atacantes pueden usar herramientas de IA generativa para crear correos de phishing, mensajes SMS fraudulentos, páginas web falsas y anuncios mucho más convincentes.
Esto permite producir campañas a gran velocidad, en varios idiomas y con un aspecto más profesional. Los errores gramaticales o diseños poco creíbles, que antes ayudaban a detectar muchas estafas, son cada vez menos frecuentes.
El resultado es un escenario más difícil para los usuarios y para los equipos de seguridad: más volumen, más realismo y más capacidad de adaptación.
Entradas falsas y reventa con datos robados
Las entradas del Mundial son otro de los grandes focos de fraude. Los ciberdelincuentes pueden crear páginas falsas de venta, enviar enlaces por correo o SMS, o utilizar credenciales y datos de pago robados para comprar entradas reales y revenderlas después.
El informe también menciona actividad en foros clandestinos relacionada con servicios de “cash-out” dirigidos a plataformas de venta de entradas como Ticketmaster, StubHub o SeatGeek. Estos servicios permiten convertir datos robados o accesos comprometidos en dinero de forma rápida.
En la práctica, una tarjeta robada puede utilizarse para comprar una entrada real, que después se revende a otro usuario. Así, el fraude se mezcla con operaciones aparentemente legítimas, lo que complica su detección.
Webs legítimas comprometidas
Otra técnica detectada consiste en comprometer páginas legítimas y manipular cómo aparecen en los resultados de búsqueda. De esta forma, una persona que busca productos oficiales del Mundial puede acabar entrando en un sitio que parece fiable, pero que la redirige silenciosamente a una tienda fraudulenta.
Esta técnica es especialmente peligrosa porque la víctima no siempre llega a la estafa desde un anuncio sospechoso o un enlace recibido por mensaje. Puede hacerlo desde un resultado de búsqueda que, a simple vista, parece normal.
