Estafa del Mundial de la FIFA 2026

Investigadores de seguridad y el FBI advierten que una oleada de fraudes a gran escala relacionados con la FIFA ya está dirigida a los aficionados del Mundial de 2026, a pesar de que el torneo no comienza hasta el 11 de junio.

El evento representa una oportunidad atractiva para los ciberdelincuentes. Se espera que más de seis millones de espectadores asistan a los partidos en 16 ciudades de Estados Unidos, Canadá y México. La FIFA informó haber recibido más de 150 millones de solicitudes de entradas en los primeros 15 días de venta, lo que significa que la demanda es aproximadamente 30 veces mayor que la oferta disponible. La escasez de entradas, la ansiedad de los aficionados y la rapidez de las transacciones han creado las condiciones ideales para el fraude a gran escala.

Investigaciones recientes han descubierto miles de dominios fraudulentos con temática de la FIFA, software malicioso oculto en aplicaciones de streaming no autorizadas y sofisticadas campañas de phishing capaces de secuestrar cuentas legítimas de la FIFA.

El auge de la red de phishing GHOST STADIUM

Los investigadores han identificado más de 4300 dominios fraudulentos relacionados con la FIFA registrados desde agosto de 2025. En el centro de esta actividad se encuentra un grupo de habla china con motivaciones económicas conocido como GHOST STADIUM, que opera una infraestructura de phishing que abarca más de 300 sitios web.

La operación se basa en una réplica muy convincente del sitio web oficial de la FIFA. Las páginas falsas imitan fielmente el sistema de inicio de sesión único de la FIFA, basado en PingIdentity, e incluso utilizan un ID de cliente legítimo copiado de la plataforma real. Para aumentar la credibilidad, las imágenes se cargan directamente desde los servidores de la FIFA, lo que ayuda a los sitios a eludir algunos métodos de detección que marcan el contenido copiado.

La función más perjudicial es una función fraudulenta de restablecimiento de contraseña. Las víctimas que introducen sus credenciales sin saberlo entregan el control de sus cuentas a los atacantes, quienes pueden bloquear al propietario legítimo y revender las entradas asociadas.

El tráfico se genera principalmente a través de anuncios de Facebook, con identificadores de seguimiento idénticos que aparecen en toda la red de phishing. Otros visitantes llegan a través de canales de Telegram, mensajes de WhatsApp y resultados de búsqueda manipulados.

La infraestructura de la estafa acepta pagos a través de múltiples canales, incluyendo transacciones directas con tarjeta, pasarelas de pago de terceros, servicios de transferencia de dinero como Chime y Nequi, procesadores regionales mexicanos y sistemas de conversión de criptomonedas. La opción de criptomonedas es particularmente peligrosa porque recuperar los fondos robados se vuelve mucho más difícil.

Una señal de alerta clara destaca: la plataforma oficial de venta de entradas de la FIFA no acepta criptomonedas. Cualquier vendedor que solicite pagos con criptomonedas debe considerarse fraudulento.

Los investigadores estiman que el fraude en boletos premium y de hospitalidad por sí solo podría generar pérdidas de entre 71 y 474 millones de dólares. Según la magnitud de la infraestructura descubierta, los daños totales podrían alcanzar miles de millones de dólares, aunque estas cifras son proyecciones y no pérdidas confirmadas.

Un ecosistema creciente de fraude

Solo entre enero y mayo, se registraron más de 13.000 dominios con temática del Mundial, de los cuales aproximadamente el 8,8% fueron identificados como maliciosos o sospechosos.

El FBI ya ha publicado avisos que enumeran numerosos dominios fraudulentos relacionados con la FIFA, incluyendo sitios web que imitan al original con errores ortográficos y portales de empleo falsos de la FIFA. Los investigadores prevén que surjan más dominios maliciosos a medida que se acerque el torneo. Otros equipos de seguridad también han identificado miles de sitios web de imitación y más de mil perfiles falsos en redes sociales.

Las estafas con entradas representan solo una parte de un ecosistema criminal mucho más amplio. Los estafadores también operan tiendas de productos falsificados, plataformas de apuestas deportivas fraudulentas y servicios de streaming falsos que no solo cobran cuotas de suscripción, sino que también distribuyen software malicioso capaz de otorgar a los atacantes el control remoto de los dispositivos de las víctimas.

Entre las estafas adicionales se incluyen notificaciones falsas de la lotería de la FIFA que prometen premios de hasta 2 millones de dólares. Los investigadores también han identificado un mercado en expansión de phishing como servicio, donde los delincuentes pueden comprar kits de estafa prefabricados y bots automatizados para la compra de boletos, lo que facilita la entrada de nuevos actores al panorama del fraude.

Estas operaciones están altamente interconectadas. Los dominios falsos captan búsquedas relacionadas con entradas, los anuncios y los resultados de búsqueda manipulados generan tráfico, las bases de datos de credenciales robadas permiten el acceso no autorizado a cuentas y las aplicaciones móviles maliciosas transforman la búsqueda de transmisiones gratuitas en fraude bancario.

Aplicaciones de streaming que roban algo más que atención.

Para los aficionados que buscan retransmisiones gratuitas del Mundial, los dispositivos móviles pueden suponer el mayor riesgo.

Investigadores observaron recientemente un aumento repentino de aplicaciones de streaming no oficiales y maliciosas que se hacían pasar por servicios populares como RojaDirecta, coincidiendo con la final de la Liga de Campeones de la UEFA. Se prevé que campañas similares se intensifiquen durante la Copa del Mundo.

Muchas de estas aplicaciones se han relacionado con troyanos bancarios para Android, incluidas familias de malware conocidas como Massiv y Perseus. Dado que estas aplicaciones no están disponibles en Google Play, los usuarios deben ignorar las advertencias de seguridad integradas de Android para instalarlas.

Una vez instalado, el malware abusa de los servicios de accesibilidad de Android para obtener un control total del dispositivo. Los atacantes pueden mostrar páginas de inicio de sesión bancarias falsas superpuestas a aplicaciones legítimas, registrar las pulsaciones del teclado, interceptar códigos de autenticación de un solo uso de mensajes SMS y aplicaciones de autenticación, y operar el dispositivo de forma remota.

Perseus, desarrollado a partir del código fuente filtrado del troyano bancario Cerberus, va aún más allá al buscar en las aplicaciones para tomar notas contraseñas almacenadas y frases de recuperación de criptomonedas.

Una aplicación de streaming que solicita permisos de accesibilidad sin una razón legítima debe considerarse una grave señal de alerta en materia de seguridad.

Las redes sociales se convierten en un terreno de caza.

Las plataformas de redes sociales se han convertido en un canal de distribución principal para las estafas relacionadas con la Copa del Mundo.

Investigadores han descubierto más de 55 campañas publicitarias con temática futbolística en Facebook e Instagram que promocionan camisetas falsificadas, artículos coleccionables Panini falsos y sitios web de phishing. El análisis de la infraestructura publicitaria ha vinculado varias de estas operaciones con operadores chinos.

Los investigadores también han catalogado más de 1700 cuentas falsas de la FIFA en redes sociales, de las cuales casi el 90 % operan en Facebook e Instagram. Una campaña destacada utilizó anuncios de empleo e invitaciones de calendario fraudulentas de la FIFA para redirigir a los solicitantes a páginas de inicio de sesión falsas de Google.

Mientras tanto, las credenciales robadas de la FIFA ya circulan en mercados delictivos. Investigadores de seguridad han vinculado cientos de miles de cuentas de usuario comprometidas y más de 4600 direcciones web relacionadas con la FIFA a familias de malware que roban credenciales, como Vidar, LummaC2 y RedLine.

Riesgos del Wi-Fi público en las ciudades anfitrionas

Las redes inalámbricas en las ciudades sede de la Copa del Mundo introducen un nivel adicional de riesgo.

Un estudio realizado en Ciudad de México, Monterrey y Guadalajara reveló que entre el 10 % y el 12 % de las redes Wi-Fi detectadas eran completamente abiertas y no estaban protegidas. Casi la mitad aún tenía activada la función Wi-Fi Protected Setup (WPS), lo que generaba oportunidades adicionales para ataques.

Estas vulnerabilidades facilitan a los delincuentes la creación de puntos de acceso Wi-Fi "gemelos malvados": redes maliciosas diseñadas para imitar puntos de acceso Wi-Fi legítimos e interceptar secretamente el tráfico de los usuarios.

Cómo pueden protegerse los aficionados y las organizaciones

Existen varias señales de alerta que pueden ayudar a identificar estafas relacionadas con la Copa del Mundo antes de que se produzcan daños:

• Adquiera las entradas únicamente a través del sitio web oficial de la FIFA e ingrese la dirección web manualmente, en lugar de utilizar anuncios o enlaces de buscadores. Active la autenticación multifactor en sus cuentas de la FIFA y evite que cualquier vendedor solicite pagos con criptomonedas.
• Evite instalar aplicaciones de streaming no oficiales, especialmente aquellas que solicitan permisos de accesibilidad. Al usar redes Wi-Fi públicas en las ciudades anfitrionas, utilice datos móviles siempre que sea posible y evite acceder a cuentas bancarias, de correo electrónico u otras cuentas confidenciales.

Las organizaciones también desempeñan un papel importante. Los equipos de seguridad deben supervisar los dominios recién registrados con temática de la FIFA, detectar páginas de inicio de sesión fraudulentas, identificar a los empleados o clientes expuestos en las filtraciones de credenciales de Vidar, LummaC2 o RedLine, y preparar a los equipos de respuesta ante el fraude para un aumento en las disputas de entradas y la actividad de contracargos durante todo el torneo.

Las amenazas que aún esperan activarse

Quizás el hallazgo más preocupante sea que aproximadamente 3.800 dominios fraudulentos conocidos relacionados con la FIFA permanecen inactivos y estacionados, listos para ser utilizados en cualquier momento.

Con los kits de phishing, los bots automatizados y las credenciales robadas ya ampliamente disponibles, los investigadores prevén que el período de mayor riesgo se extienda del 11 de junio al 19 de julio. Durante ese lapso, las búsquedas de boletos, reservas de viajes y servicios de streaming alcanzarán su punto máximo, creando las condiciones ideales para que los ciberdelincuentes expandan sus operaciones.