El mecanismo arranca con una publicación común y corriente: un usuario pone un producto a la venta y aparece un supuesto comprador que asegura haber hecho el pago. Después, envía un comprobante o un enlace para completar la operación. El vendedor entra, carga sus datos en una página que parece legítima y que en realidad es falsa.
Es una estafa clásica de internet. Lo que cambió es quién la levanta. Hoy el estafador no necesita desarrollar nada. Contrata o alquila una plataforma que le entrega el sitio falso, el sistema de pago simulado y las herramientas listas para usar. Eso es lo que la industria de la ciberseguridad define como crimen como servicio.
El fenómeno fue documentado por
Anton Dolgalev, hacker e investigador ruso de la empresa de ciberseguridad Group-IB, explicó el fenómeno que documentó en su presentación en la 22ª edición de Ekoparty, la conferencia de hackers realizada en el Centro de Convenciones Buenos Aires.
El estudio analizó seis categorías de servicios criminales que operan o apuntan a distintos mercados de la región.
En la muestra analizada de una plataforma conocida como Classiscam, la Argentina representó el 14,3% de las operaciones latinoamericanas rastreadas, empatada con Chile.
El reporte ofrece páginas fraudulentas preparadas para distintos países, servicios y monedas. Es, en los hechos, un catálogo.
Los investigadores detectaron además páginas y dominios preparados para hacerse pasar por servicios conocidos localmente, entre ellos Mercado Libre y Mercado Pago.
La aclaración necesaria sobre ese punto. La presencia de esas plataformas en el catálogo no implica una vulnerabilidad en sus sistemas.
Es el costo de ser muy grande. Los criminales las usan como parte del engaño precisamente porque son servicios conocidos y de uso cotidiano para los argentinos.
Dicho de otra forma, imitan esas marcas porque todos las reconocen, no porque sean más fáciles de atacar.
Acá está el hallazgo central de la investigación y el que explica por qué el fenómeno crece.
"La persona que realiza la estafa no necesita desarrollar la página: la plataforma se la proporciona. Esa división del trabajo es central. Alguien con pocos conocimientos técnicos puede sumarse a un servicio ya existente, utilizar sus herramientas y compartir las ganancias con sus operadores", explicó Dolgalev.
El sistema utiliza bots de Telegram que permiten generar páginas fraudulentas eligiendo dos variables: el servicio que se quiere imitar y la moneda que aparecerá durante la operación.
"Un bot de Telegram suministra páginas fraudulentas con opciones para elegir el servicio que se quiere imitar y la moneda. Los participantes encuentran potenciales víctimas y se encargan de la conversación", detalló el investigador.
Telegram ya quedó bajo la lupa en más de una oportunidad por facilitar la comercialización de datos personales y herramientas para cibercriminales.
Esa estructura tiene una consecuencia práctica incómoda. El perfil del estafador cambió por completo. Ya no hace falta saber programar, montar un servidor ni registrar un dominio. Alcanza con saber conversar y tener paciencia para encontrar víctimas.
Segundo Carranza, especialista en ciberseguridad, explica por qué ese cambio multiplica el problema: "Cuando el delito requería conocimiento técnico, la cantidad de personas capaces de cometerlo era limitada. Al convertirse en un servicio que se alquila, la barrera de entrada baja al nivel de cualquier emprendimiento digital."
"Ya no competís contra un hacker, competís contra un modelo de negocio con afiliados que escalan el volumen. Esa es la diferencia entre un problema de seguridad y un problema de industria", precisa el experto.
La investigación incluye un desarrollo que marca el próximo escalón del fraude telefónico.
Entre los casos estudiados aparece CallFlow, una herramienta de fraude telefónico en desarrollo que combina un modelo de lenguaje, reconocimiento de voz y voz sintética.
Su capacidad declarada es manejar hasta 30 llamadas en simultáneo. El salto que implica es de escala pura. Una estafa telefónica tradicional requiere un operador humano por cada víctima, hablando en tiempo real. Con esta herramienta, el mismo esfuerzo se multiplica por treinta.
Y el componente de voz sintética abre otra dimensión. Una llamada que suena natural, responde preguntas y mantiene el hilo de la conversación es mucho más difícil de identificar como fraudulenta que un robot con respuestas pregrabadas.
Ese desarrollo llega a un terreno ya castigado. Durante 2024, la Unidad Fiscal Especializada en Ciberdelincuencia recibió 34.468 reportes de delitos informáticos, un 21,1% más que el año anterior, y el 63% correspondió a fraudes en línea.
Dolgalev fue claro en que el esquema no es una invención latinoamericana. "Los modelos de negocio subyacentes existen internacionalmente. Vender accesos, alquilar malware y operar esquemas criminales de afiliados no son fenómenos exclusivamente latinoamericanos", precisó.
Y precisó dónde está la particularidad regional: "Lo regional está en cómo estos servicios se desarrollan y se adaptan a las empresas locales, los sistemas financieros y las transacciones cotidianas".
La investigación encontró ejemplos específicos por país. BraZetsu busca en computadoras de Brasil información vinculada con operaciones bancarias y software empresarial.
Balonx Sistema apunta a instituciones financieras mexicanas mediante páginas de phishing adaptadas al mercado local. Classiscam hace lo propio con servicios y monedas de distintos países, con Argentina a la cabeza.
El precedente de este modelo es el ransomware, el software que roba datos para extorsionar a sus víctimas, que tuvo su período de mayor auge a partir de la pandemia y funcionó como un prolífico negocio de crimen como servicio.
Hay un antecedente local que Dolgalev recordó fuera de la investigación presentada en Ekoparty, y que completa el cuadro. Se trata de iServer, una plataforma de phishing cuyo administrador era argentino.
El servicio permitía crear páginas falsas para obtener credenciales y códigos de desbloqueo de teléfonos robados. Según Group-IB, la investigación derivó en 2024 en la Operación Kaerb, coordinada por Europol y Ameripol, en la que fue detenido el administrador argentino de la plataforma.
Los investigadores reportaron aproximadamente 483.000 víctimas en todo el mundo. Esa cifra es global y no corresponde a víctimas argentinas.
Para Dolgalev, ambos casos muestran las dos caras del mismo fenómeno. Classiscam describe a Argentina como un mercado apuntado por servicios criminales. iServer documenta a un administrador argentino que suministraba ese tipo de servicio a escala internacional.
Martín Cavallero, abogado especializado en delitos informáticos, señala el desafío que plantea esa estructura para la investigación penal: "Cuando el que arma la página está en un país, el que busca a la víctima en otro y el servidor en un tercero, la causa penal argentina se queda sin nadie a quien imputar más allá del último eslabón."
"Operaciones como Kaerb muestran que se puede, pero requieren coordinación internacional que lleva años. Mientras tanto, el damnificado individual tiene muy pocas chances de recuperar su dinero", concluye.
Seis medidas concretas, todas aplicables al esquema que describe la investigación: