La expectación global por el Mundial de Fútbol 2026 se ha convertido en un nuevo gancho para los ciberdelincuentes. Investigadores de seguridad han detectado una campaña de phishing que utiliza supuestas páginas de recompensas vinculadas al torneo para engañar a los aficionados y robar datos de tarjetas bancarias.
El fraude comienza con correos electrónicos cuidadosamente diseñados que aparentan proceder de comunicaciones legítimas relacionadas con la FIFA o con promociones del campeonato. Estos mensajes superan controles habituales de autenticación, lo que aumenta su apariencia de fiabilidad y puede llevar a los usuarios a bajar la guardia.
Al hacer clic en el enlace incluido en el correo, la víctima no llega directamente a la página fraudulenta. Antes pasa por una cadena de redirecciones diseñada para ocultar el destino real y dificultar el análisis por parte de herramientas de seguridad.
Redirecciones y geocloaking para esquivar la detección
Uno de los elementos más sofisticados de la campaña es el uso de técnicas de geocloaking. Este método permite mostrar la página fraudulenta solo a usuarios de determinadas regiones, normalmente mercados con gran interés por el Mundial y alto poder adquisitivo.
En cambio, si el enlace es analizado desde otras ubicaciones, desde entornos automatizados o por investigadores de seguridad, puede mostrar contenido inocuo, errores o páginas sin actividad maliciosa.
Los atacantes también inspeccionan elementos como el navegador utilizado, el agente de usuario o las cabeceras de referencia. De esta forma, intentan distinguir entre una víctima real y un sistema de análisis automático.
Esta estrategia complica la detección basada únicamente en URL, ya que el contenido malicioso no siempre aparece cuando se visita el enlace.
Falsas páginas de recompensa con estética oficial
La página final imita la identidad visual de la FIFA y presenta una supuesta plataforma para reclamar premios o beneficios asociados al Mundial. El diseño suele incluir logotipos, colores, mensajes promocionales y elementos que buscan transmitir urgencia.
Entre las técnicas más habituales aparecen temporizadores de cuenta atrás, avisos sobre disponibilidad limitada y mensajes que animan al usuario a completar el proceso cuanto antes.
El engaño se completa con la solicitud de un pequeño pago en concepto de “gastos de gestión” o “procesamiento”. Para abonarlo, la víctima debe introducir su nombre, dirección y los datos completos de su tarjeta bancaria.
A diferencia de los canales legítimos, estas páginas fraudulentas pueden aceptar múltiples tipos de tarjeta e incluso proponer métodos alternativos como criptomonedas o pagos entre particulares. Ese detalle debe considerarse una señal clara de alerta.
Dominios falsos y certificados HTTPS
El análisis de la campaña apunta al uso de dominios recién registrados o comprometidos que imitan propiedades oficiales de la FIFA. Muchos de ellos incorporan términos relacionados con premios, entradas, recompensas o el propio torneo.
Algunas páginas utilizan certificados HTTPS válidos, obtenidos a través de autoridades automatizadas. Esto permite mostrar el icono del candado en el navegador, un elemento que muchos usuarios siguen interpretando erróneamente como garantía de legitimidad.
Sin embargo, HTTPS solo indica que la conexión está cifrada. No demuestra que el sitio sea oficial ni que la organización que lo opera sea confiable.
Los delincuentes también recurren a servicios de alojamiento resistentes al abuso o a sitios legítimos comprometidos, lo que dificulta las tareas de retirada y bloqueo.
Una ola más amplia de estafas ligadas al Mundial
La campaña forma parte de una tendencia más amplia de ciberdelincuencia temática vinculada al Mundial de 2026. Además de falsas recompensas, se han detectado páginas fraudulentas de venta de entradas, paquetes de hospitalidad inexistentes, ofertas de empleo falsas y perfiles en redes sociales que suplantan a entidades relacionadas con el torneo.
El objetivo es aprovechar el interés masivo por el evento y la urgencia de los aficionados por conseguir entradas, viajes, visados o promociones exclusivas.
Este tipo de campañas suelen aumentar a medida que se acercan los partidos más relevantes, cuando la presión emocional y la demanda de servicios oficiales crecen.
