A medida que se acerca la Copa Mundial de la FIFA 2026, los ciberdelincuentes se están moviendo rápido para sacar provecho de la emoción. Los investigadores han descubierto una operación de fraude masiva dirigida a los aficionados del torneo de fútbol más grande del mundo, con más de 300 dominios falsos ya activos.

La operación es sofisticada, está bien financiada y está diseñada para engañar incluso a los usuarios cautelosos. Con miles de millones de dólares en juego, esta campaña es una de las ciberamenazas más graves vinculadas a un evento deportivo importante.

La campaña explota la enorme demanda de entradas para la Copa Mundial de la FIFA 2026, que se celebrará en Estados Unidos, Canadá y México.

Se solicitaron más de 150 millones de entradas en los primeros 14 días del periodo de ventas, creando esa urgencia desesperada de la que se alimentan los estafadores.

Los defraudadores han construido una amplia red de sitios web falsos diseñados para parecer exactamente iguales a las plataformas oficiales de la FIFA, y las víctimas que aterrizan en estas páginas no tienen una forma sencilla de saber que están en un sitio fraudulento.

Group-IB afirmó en un informe  que los investigadores identificaron seis esquemas de fraude distintos, cuatro actores de amenazas independientes y más de 3.500 dominios fraudulentos que suplantan la presencia web de la FIFA.

En el centro se encuentra el actor de amenazas designado como GHOST STADIUM, un operador de habla china con motivaciones financieras que ejecuta una campaña de phishing coordinada a través de más de 300 dominios. Las pérdidas financieras totales solo de esta campaña podrían alcanzar miles de millones.

Se están ejecutando seis esquemas de fraude independientes en paralelo, cada uno dirigido a los aficionados al fútbol de manera diferente. Estos incluyen phishing de credenciales, ventas de entradas falsas, tiendas de mercancía falsificada, plataformas de streaming fraudulentas, sitios de apuestas fraudulentos y robo de credenciales impulsado por infostealers.

Cada esquema tiene su propio método de monetización, lo que hace que sea difícil desmantelar toda la operación con una sola acción. Juntos, forman un ecosistema de fraude creciente que se expande activamente a medida que se acerca el torneo.

Más de 2.513 pares de credenciales confirmadas de cuentas de la FIFA ya están circulando en los mercados de la dark web a precios de entre 5 y 50 dólares por par.

Estas no fueron robadas mediante phishing dirigido, sino recolectadas incidentalmente por campañas masivas de infostealers dominadas por las familias de malware Vidar y Lumma.

Se han identificado aproximadamente 170.000 registros de infostealers que contienen referencias a la FIFA, lo que demuestra cuán amplia se ha vuelto la red de robo de credenciales mucho antes del pitido inicial.

Campaña de Phishing GHOST STADIUM

El kit de phishing de GHOST STADIUM es una aplicación de página única personalizada basada en React que clona el sitio web oficial de la FIFA con una precisión casi perfecta.

Construido sobre el marco Layui 2.7.6, una biblioteca de interfaz de usuario china virtualmente desconocida fuera de la comunidad de desarrolladores chinos, el kit replica el flujo de inicio de sesión SSO de PingIdentity de la FIFA utilizando un client_id real tomado directamente del SSO real de la FIFA.

Después de robar las credenciales, una función de restablecimiento de contraseña bloquea a las víctimas inmediatamente y luego las redirige silenciosamente al sitio real de la FIFA para que el ataque parezca un inicio de sesión exitoso.

El kit detecta automáticamente el idioma del navegador y cambia su interfaz en 11 idiomas más tres variantes chinas: chino simplificado, tradicional y de Hong Kong.

Esta distinción tan detallada es una señal de atribución directa que apunta a un desarrollador de habla china.

Se encontraron tres IDs de Meta Pixel compartidos en los 300 dominios de phishing, confirmando que un único operador controla toda la campaña y está utilizando anuncios de Facebook para dirigir tráfico segmentado a las páginas falsas.

Amenaza de Infostealer y Pasos de Protección

La red de infostealers representa un peligro distinto pero igualmente grave que opera junto con la operación de phishing. El malware Vidar y Lumma se distribuyen a través de señuelos de software crackeado, redes de malvertising y canales de trucos de Telegram.

Estos robadores copian cada credencial almacenada en el navegador, el token de sesión y la semilla de la billetera de criptomonedas de los dispositivos infectados. Las credenciales de la FIFA se recolectan como daño colateral incidental que luego alimenta las redes de toma de control de cuentas y los mercados de reventa de la dark web.

Los investigadores de Group-IB recomiendan desplegar herramientas de Protección de Riesgos Digitales para la monitorización continua y la eliminación automatizada de la infraestructura de suplantación de marca.

Tú deberías comprar entradas únicamente a través de los canales oficiales de la FIFA y activar la autenticación multifactor inmediatamente.

Se insta a las instituciones financieras a alertar sobre transacciones dirigidas a través de los cinco canales de pago identificados vinculados a esta campaña, mientras que tú, como aficionado, deberías evitar los anuncios o mensajes temáticos de la FIFA que ofrezcan precios bajos combinados con tácticas de presión de cuenta regresiva.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido desactivados intencionalmente (ej., [.]) para evitar la resolución accidental o la creación de hipervínculos. Actívalos únicamente dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.