El phantom squatting es una técnica donde atacantes registran dominios inexistentes que los modelos de IA inventan mediante alucinaciones para crear páginas de phishing. Debido a que los modelos suelen repetir los mismos errores, los criminales pueden predecir y capturar estos enlaces antes que los usuarios. Expertos recomiendan no confiar ciegamente en los enlaces de la IA y verificar siempre la autenticidad de los dominios oficiales.

Los modelos de lenguaje extensos siguen inventando direcciones web que no existen. Los atacantes han empezado a comprar esos dominios inventados antes que nadie, alojando luego páginas de phishing en ellos para capturar el tráfico que las herramientas de IA redirigen hacia allí.

La Unit 42 de Palo Alto Networks llama a este truco phantom squatting (phantom squatting), y su nueva investigación demuestra que ya está ocurriendo en el mundo real.

La razón por la que esto es importante es la confianza. Los desarrolladores y los asistentes de IA tratan cada vez más los enlaces que devuelve un modelo como reales. Cuando un modelo inventa un dominio que aún no existe, quien lo registre primero hereda toda esa confianza mal depositada, sin necesidad de correos de phishing ni anuncios maliciosos.

Para medir el problema, Unit 42 hizo a dos modelos de IA 685.339 preguntas sobre 913 marcas conocidas de tecnología, finanzas, salud, gobierno, juegos de azar y otros sectores.

Los modelos produjeron 2,1 millones de enlaces. La inteligencia de amenazas ya marcó 13.229 de ellos como directamente maliciosos, lo que significa que la IA estaba entregando direcciones ya conocidas como peligrosas. Aproximadamente 250.000 de los dominios inventados aún no tenían dueño, siendo cada uno un objetivo listo para quien lo registre primero.

Cómo funciona el phantom squatting

El ataque funciona porque un dominio recién creado no tiene reputación. Las listas negras, los feeds de amenazas y las puntuaciones de reputación necesitan que un sitio se comporte mal durante un tiempo antes de marcarlo.

Un dominio fantasma recién registrado no tiene tal registro, por lo que esos filtros no tienen nada que marcar. Para cuando lo detectan, tú ya has sido enviado al sitio por una herramienta en la que confías.

Dos detalles lo empeoran. Los dominios falsos no estaban en los datos de entrenamiento: ambos modelos se lanzaron antes de que existieran los sitios maliciosos reales, por lo que las direcciones provienen de los propios patrones de lenguaje de los modelos, no de la memoria. Y esos patrones son consistentes.

Diferentes modelos suelen inventar el mismo dominio falso para la misma pregunta, lo que hace que el próximo objetivo de un atacante sea fácil de adivinar. Aumentar el ajuste de "creatividad" de un modelo solo produjo más dominios inventados. Como señalan los investigadores de Unit 42, el vector "explota una propiedad estructural de las arquitecturas de LLM que sigue siendo inherentemente imposible de parchear".

Dos casos observados

Dos casos muestran el ciclo completo. El 8 de marzo de 2026, el sistema de Unit 42 predijo que los modelos de IA inventarían un dominio parecido al mercado online de un servicio postal nacional. Ambos modelos lo generaron en cada ajuste de temperatura, una señal clara de que trataban el sitio falso como un hecho.

Veintitrés días después, el 31 de marzo, un atacante registró exactamente ese dominio y montó un kit de phishing llamado Montana Empire. El kit copiaba la tienda real en tiempo real. Robaba números de tarjeta, detalles de transferencias bancarias y datos de identidad nacional.



Un bot de Telegram permite al operador aprobar manualmente los códigos de un solo uso de las víctimas. El detalle revelador: los archivos del proyecto y los registros de sesión mostraron que el criminal había construido el kit con un asistente de codificación de IA. Atacante y defensor llegaron al mismo dominio falso de la misma manera: preguntando a una IA.

En el segundo caso, Unit 42 detectó un dominio alucinado de un servicio postal 51 días antes de que un atacante lo registrara. El atacante luego lo envolvió en un clon de marca perfecto, añadió una calificación falsa de 4,8 estrellas y una afirmación de más de dos millones de usuarios, y lo utilizó para promover una aplicación maliciosa de Android.

Otros dominios detectados suplantaron a un importante banco de los Emiratos Árabes Unidos que un atacante ya había estado abusando durante casi un año, un banco europeo y sitios de apuestas deportivas dirigidos a usuarios en Bangladesh.

Un truco viejo con un nuevo objetivo

El phantom squatting es la versión de dominios del slopsquatting, donde los atacantes registran nombres de paquetes de software falsos que las herramientas de codificación de IA inventan. Esto no es hipotético.

Un amplio estudio de USENIX encontró que los modelos de generación de código sugieren habitualmente nombres de paquetes que no existen, y la campaña PhantomRaven convirtió exactamente ese comportamiento en malware oculto en 126 paquetes de npm con más de 86.000 instalaciones.

Esto apunta a un cambio mayor: la salida del modelo se está convirtiendo en la entrada. Los desarrolladores, agentes y equipos de seguridad actúan basándose en enlaces y nombres generados por IA antes de que nadie los verifique, y la IA sigue reduciendo el tiempo que tienes para reaccionar.

También llega a un mundo donde el phishing de suplantación de marca es ahora un servicio pagado, con kits como Lucid y Lighthouse creando 17.500 dominios falsos contra 316 marcas en 74 países.

Qué hacer

Debido a que los modelos alucinan de forma consistente, los equipos de seguridad pueden mapear qué dominios falsos es probable que produzca un modelo y vigilar que nadie los registre, a menudo con semanas de antelación. Para el resto, los pasos prácticos son sencillos:

* No confíes en un enlace solo porque una IA te lo haya dado. Confirma que el dominio sea el real y oficial antes de escribir una contraseña o pegarlo en tu código.
* Evita que los agentes de IA abran o descarguen automáticamente contenido de enlaces generados por modelos sin una verificación previa. Un agente no tiene el instinto de dudar como podrías tener tú.
* Trata cualquier cosa que escriba un modelo como un borrador no verificado, no como una autoridad.

Esa ventana está abierta y recompensa a quien se mueva primero. La verdadera pregunta, como plantea Unit 42, es simplemente si los defensores o los atacantes llegarán antes a estos dominios.

Fuente:
THN