Una operación de phishing está utilizando certificados web y direcciones seleccionadas para engañar a clientes de marcas de alto valor a través de WhatsApp. La actividad busca que las páginas fraudulentas parezcan legítimas a simple vista, convirtiendo las señales de seguridad habituales en parte del engaño mediante el uso de sitios falsos con nombres similares a los originales.

Una operación de phishing está utilizando certificados web y direcciones web seleccionadas para dirigirse a clientes de marcas de alto valor a través de WhatsApp.

La actividad está diseñada para que las páginas fraudulentas parezcan normales a primera vista, convirtiendo una señal de seguridad familiar en parte del engaño.

La campaña se basa en sitios falsos con nombres similares. Un mensaje puede dirigir a quien lo recibe desde WhatsApp a una página de inicio de sesión que se parece a un servicio que ya conoces, donde se pueden recopilar contraseñas, detalles de verificación u otra información de la cuenta.

Investigadores de Clandestine identificaron infraestructura de phishing y clonación de interfaces activada, dirigida principalmente a WhatsApp e Instagram.

Los certificados fueron emitidos el 10 de agosto de 2026, lo que sugiere que los sitios de apoyo fueron preparados recientemente para una nueva ola de ingeniería social.

Clandestine indicó en un informe que el riesgo inmediato no es un fallo en el sistema de certificados.

Se trata de una confianza mal depositada: es posible que veas el HTTPS o un candado, asumas que la página es legítima e introduzcas tus credenciales antes de comprobar la dirección completa. Esto puede provocar el robo de cuentas, fraudes y suplantación de identidad.

Nuevo ataque de phishing que aprovecha certificados SSL/TLS

Parece que los atacantes han registrado dominios que imitan nombres populares mediante cambios ortográficos, palabras añadidas y sustitución de caracteres.

Posteriormente, obtuvieron certificados SSL/TLS de autoridades de certificación legítimas, lo que permite que las páginas se carguen a través de conexiones HTTPS cifradas.

El cifrado protege el tráfico hacia un sitio, pero no demuestra que el operador sea genuino.

Esta distinción es importante en las pantallas móviles, donde la dirección completa puede estar oculta o acortada.

Una página fraudulenta puede mostrar un icono de candado y aun así estar diseñada para robar información. Campañas similares de phishing por WhatsApp dirigidas a buscadores de empleo han utilizado dominios falsificados y HTTPS para que ofertas de contratación falsas parezcan creíbles.

Alerta de Inteligencia de Amenazas | Nuevas Campañas Detectadas

Hemos identificado la activación de nuevas campañas de phishing y clonación de interfaces que aprovechan certificados SSL/TLS con patrones clásicos de typosquatting (sustitución de caracteres y variaciones ortográficas) dirigidas a… pic.twitter.com/6nJv18JJnQ

— Clandestine (@akaclandestine) August 10, 2026

La actividad utiliza patrones clásicos de typosquatting, incluyendo la sustitución de caracteres y variaciones ortográficas.

El objetivo reportado se centra en WhatsApp e Instagram, donde los mensajes y alertas pueden llegar a una gran audiencia. Los informes disponibles no atribuyen la campaña a un grupo específico ni confirman víctimas.

Los emisores de certificados mencionados en la investigación son Let’s Encrypt, Google Trust Services y Amazon. Esto no significa que estén involucrados en el fraude.

La emisión de certificados es automatizada: un certificado valida el control de un dominio, no la honestidad de su contenido ni la identidad de la marca implícita en su nombre.

Los señuelos de WhatsApp pueden convertir la confianza en robo

La fuerza de la campaña radica probablemente en el uso de la urgencia y la familiaridad. Un mensaje de WhatsApp podría afirmar que una cuenta necesita verificación, que hay un pago pendiente o que se requiere una acción de soporte.

Una página clonada puede entonces pedirte el inicio de sesión, un código de un solo uso o información personal, dejándote expuesto si accedes.

Deberías evitar abrir enlaces de cuentas enviados inesperadamente en chats, incluso cuando parezcan provenir de un contacto conocido. En su lugar, abre la aplicación oficial o escribe la dirección del servicio conocido manualmente.

Ese hábito te ayuda a vencer los trucos visuales descritos en casos recientes de phishing por typosquatting, donde un pequeño cambio puede producir un dominio convincente.

Antes de introducir tus credenciales, deberías expandir la barra de direcciones e inspeccionar el dominio completo en lugar de confiar en el nombre de la marca al principio.

Deberías tratar los códigos de verificación no solicitados como datos sensibles y nunca compartirlos. Las organizaciones pueden monitorear nuevos certificados para dominios similares a sus marcas y advertir a los clientes sobre los canales de soporte verificados.

Si tienes una cuenta, deberías activar las protecciones de inicio de sesión de múltiples pasos disponibles y revisar las sesiones activas después de un contacto sospechoso.

Si has introducido un inicio de sesión en una página cuestionable, cambiar la contraseña a través del servicio oficial, finalizar las sesiones desconocidas y alertar a tus contactos puede limitar los daños.

Los informes de robo de credenciales de Instagram muestran por qué las páginas réplica siguen siendo efectivas cuando explotan un mensaje o cuenta de confianza.

Los equipos de seguridad deberían añadir los dominios reportados a los flujos de trabajo de monitoreo y bloqueo cuando sea apropiado, tratando la lista como una vista puntual de una infraestructura que puede cambiar.

La lección general es sencilla: un certificado significa que una conexión está cifrada, no que un sitio web, mensaje o solicitud sea auténtico.

Ataques similares de páginas de phishing respaldadas por SSL han utilizado el símbolo del candado para fomentar esa suposición errónea.

Indicadores de compromiso (IoCs):-

Tipo	Indicador	Descripción
Dominio	whatsapp.elirex.net	Dominio de typosquatting reportado con temática de WhatsApp
Dominio	whatsapp.primecore.online	Dominio de typosquatting reportado con temática de WhatsApp
Dominio	whatsapp-handler.icaal.co.uk	Dominio de typosquatting reportado con temática de WhatsApp
Dominio	whatsappclone-dc983:...	Indicador truncado según el material original
Dominio	api.whatsapp.dev.tadoo.app	Dominio de typosquatting reportado con temática de WhatsApp

Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos únicamente dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/new-phishing-attack/