Investigadores de ciberseguridad revelaron una campaña de fraude activa desde 2017 que utiliza sitios web clonados de grandes empresas rusas para estafar a firmas internacionales. Los atacantes engañan a clientes B2B mediante phishing y llamadas, solicitando pagos anticipados por productos inexistentes a través de cuentas bancarias falsas. La operación ha desplegado casi 100 dominios fraudulentos en varios idiomas, afectando la reputación de las empresas legítimas y causando pérdidas económicas significativas.





 Investigadores de ciberseguridad han revelado detalles de una campaña de fraude a gran escala que consiste en crear sitios web idénticos de importantes empresas rusas con el objetivo de desviar fondos de firmas internacionales durante más de nueve años.

Según el proveedor ruso de ciberseguridad F6, los atacantes han configurado sitios web clonados de empresas rusas, incluyendo fabricantes de fertilizantes, compañías petroquímicas, plantas metalúrgicas, operadores logísticos y bancos. La operación ha estado activa desde 2017.

"La mayor parte del contenido de estos sitios fraudulentos fue copiado de los sitios web legítimos de las empresas. Algunos también utilizaron nombres de dominio muy similares", afirmó la compañía de ciberseguridad en un informe exclusivo. "Estos sitios falsos, disponibles en inglés, francés, árabe y ruso, se utilizaron para dirigirse a clientes internacionales y robar pagos anticipados por mercancías que no existían".

El análisis indica que el esquema de prepago falso se ha centrado principalmente en organizaciones de los países de la Comunidad de Estados Independientes (CEI), con un enfoque específico en el sector B2B (empresa a empresa) y el comercio internacional mediante llamadas en frío, campañas de phishing por correo electrónico y sitios web corporativos fraudulentos para iniciar el contacto con clientes potenciales y distribuir documentos comerciales con los datos bancarios de falsas "filiales".

El esquema funciona engañando a los clientes potenciales para que visiten los sitios réplica, que tienen los datos de contacto alterados para dirigirlos a los atacantes. En algunos casos, los atacantes han contratado a representantes de ventas desprevenidos para realizar llamadas en frío, quienes tienen instrucciones de pasar al cliente a un "gerente senior" una vez que las negociaciones llegan a la etapa final.

A partir de este momento, las comunicaciones del cliente son con los estafadores, quienes envían ofertas comerciales, contratos y facturas con datos bancarios falsos, provocando que los pagos se redirijan a los criminales. Se estima que una de las víctimas, una empresa azerbaiyana, perdió 150.000 dólares en abril de 2025 a través de una transacción fraudulenta.

La investigación de F6 ha desenterrado casi 100 dominios falsificados que suplantan a empresas, identificando vínculos entre un subconjunto de la infraestructura y campañas anteriores. El dominio más antiguo conectado a esta actividad data de 2017. La gran mayoría de los dominios están asociados a las siguientes direcciones IP:

* 212.127.73[.]235
* 167.86.100[.]68

"Una parte significativa de la infraestructura comparte registros DNS comunes, direcciones IP y otros datos de registro, lo que indica que estos sitios web forman parte de una única campaña coordinada", afirmó Elena Shamshina, responsable técnica del Departamento de Inteligencia de Amenazas de F6.

La empresa de ciberseguridad señaló que un esquema fraudulento similar ocurrió en 2017, cuando una empresa química rusa empezó a recibir llamadas de agricultores sobre entregas retrasadas de pedidos de fertilizantes prepagados. Los agricultores afirmaban poseer contratos con firmas de personas que se creía eran representantes de la empresa cuando, en realidad, no se había firmado ningún acuerdo.

Investigaciones posteriores encontraron pruebas de un esfuerzo de brandjacking donde los estafadores crearon un sitio web fraudulento ("www.agrocenter-eurohem[.]ru") que era una copia virtual casi perfecta del sitio legítimo, siendo los únicos cambios los datos de la cuenta bancaria y la información de contacto.

"Los atacantes también produjeron propuestas comerciales muy convincentes con el papel membretado oficial de la empresa", dijo F6. "Aunque los documentos parecían auténticos, los detalles de pago habían sido sustituidos por cuentas controladas por los estafadores. Como resultado, clientes desprevenidos transfirieron dinero por productos que no existían".

Se evalúa que la campaña es de naturaleza internacional. Aunque las primeras iteraciones dependían en gran medida de dominios locales .ru, los dominios creados recientemente hacen un uso extensivo de dominios de nivel superior (TLD) .com, .org y .net. Estos sitios están disponibles en ruso, inglés, árabe y francés.

F6 afirmó que también descubrió un conjunto de documentos comerciales fraudulentos que imitaban ofertas, contratos y facturas que contenían direcciones de correo electrónico corporativas falsas y datos bancarios fraudulentos.

"El análisis de estos archivos indica que los atacantes preparan un conjunto completo de documentación comercial diseñada para respaldar la transacción falsa y aumentar la confianza de la víctima", dijo Vera Kolenikova, especialista senior del Departamento de Investigación de Delitos Cibernéticos de F6.

"Como resultado, las víctimas pierden dinero, mientras que las empresas legítimas cuyas marcas son abusadas sufren daños reputacionales. Para las empresas dedicadas a operaciones internacionales de importación y exportación, una de las medidas de seguridad más eficaces es verificar independientemente la información de contacto y los datos de pago antes de transferir fondos".

Quizás el aspecto más preocupante de la campaña es el nivel de replicación. Después de que varias empresas víctimas publicaran advertencias de fraude en sus sitios web oficiales, los atacantes no perdieron tiempo copiando esos avisos en sus contrapartes falsas y sustituyeron las referencias a los dominios legítimos por dominios falsos bajo su control.

Para mitigar esta amenaza, se aconseja a las organizaciones ejercer la debida diligencia con los socios comerciales utilizando fuentes confiables y registros empresariales gubernamentales, asegurar la legitimidad de las filiales y la información de contacto, comprobar el dominio del sitio web del proveedor y la fecha de registro, y confirmar los detalles de pago antes de transferir fondos.

Fuente:
THN