Phishing a través de anuncios de búsqueda: por qué el primer resultado puede ser falso

Los estafadores compran anuncios de búsqueda con los nombres de wallets, exchanges y apps DeFi populares, de modo que el primer resultado «patrocinado» puede llevar a un sitio falso convincente creado para robar tu frase de recuperación, tus credenciales o aprobaciones de tu wallet. El hábito más seguro es sencillo: nunca accedas a un sitio cripto a través de un anuncio; usa tus propios marcadores.

Este ataque funciona porque se dirige a un momento de confianza. Buscas un nombre que conoces, haces clic en el primer resultado y ves una página que parece exactamente la correcta. Nada resulta sospechoso, y precisamente de eso se trata. Esta guía explica cómo funciona el esquema, cómo se ve en la práctica y cómo protegerte.

Cómo funciona el phishing con anuncios de búsqueda, paso a paso

1. 1El estafador registra un dominio casi idéntico. Puede cambiar una letra, añadir una palabra como «app» o «claim», usar otra terminación de dominio o emplear caracteres que se ven idénticos a las letras latinas.
2. 2Clonan el sitio real. Copiar el diseño de una wallet, un exchange o una app DeFi requiere poco esfuerzo.
3. 3Compran anuncios con el nombre de la marca. El anuncio apunta a búsquedas como el nombre de la wallet más «download» o el nombre del exchange más «login».
4. 4Eluden la revisión. Los trucos incluyen mostrar una página inofensiva a los revisores y la página de phishing a los visitantes reales, o redirigir a través de varios dominios.
5. 5Las víctimas hacen clic y actúan. El sitio falso pide una frase de recuperación para «restaurar» una wallet, captura la contraseña de un exchange y el código de doble factor, ofrece la descarga de una app maliciosa o te pide conectar una wallet y firmar una transacción.
6. 6Los fondos se vacían. Con una frase de recuperación o una aprobación de gasto, el atacante saca los activos en cuestión de minutos, a menudo a través de mixers o bridges.

La página falsa suele desaparecer rápido y la sustituye un nuevo dominio con un nuevo anuncio. Lo tratamos con más detalle en Estafas de préstamos cripto.

Un ejemplo hipotético

Lo siguiente es un escenario compuesto e ilustrativo, no un caso real.

Imagina que Sam quiere revisar una posición DeFi. Sam escribe el nombre del protocolo en un buscador y hace clic en el primer resultado, marcado como «Patrocinado» en letra pequeña. La página es idéntica a la app real. Un banner indica que una «migración de seguridad» exige que los usuarios vuelvan a conectar su wallet. Sam se conecta y se le pide firmar un mensaje que parece un inicio de sesión rutinario. Ver también: Seguridad de la cuenta de correo para usuarios de cripto.

En realidad, la firma es un permit de tokens que da al atacante permiso para mover las stablecoins de Sam. Minutos después, el saldo ha desaparecido. Cuando Sam revisa la barra de direcciones, el dominio tiene una letra de más. Nuestro artículo sobre ice phishing y firmas de permit muestra cómo funcionan estas firmas.

Lista de señales de alarma

Cómo protegerte

Crea hábitos de acceso seguros

• Guarda en marcadores los sitios oficiales una sola vez, después de verificarlos con cuidado, y usa solo esos marcadores. Nuestra guía sobre cómo verificar que un sitio web es el sitio oficial del proyecto explica las comprobaciones.
• Pasa de largo los anuncios en cualquier búsqueda financiera o cripto. Mejor aún, evita buscar páginas de inicio de sesión.
• Instala apps de wallet solo desde enlaces del sitio oficial o fichas verificadas en tiendas de apps, comprobando el nombre del desarrollador. Consulta apps de wallet falsas para ver las señales de alarma.

Reduce el daño si te equivocas

• Usa una hardware wallet que muestre los detalles de la transacción en su propia pantalla, y léelos.
• Guarda la mayoría de los fondos en una wallet que rara vez conectes a apps y usa una wallet separada para experimentar.
• Revisa y revoca las aprobaciones de tokens con regularidad.
• Usa un bloqueador de anuncios o un ajuste del navegador que oculte los resultados patrocinados, si te sientes cómodo haciéndolo.

Comprueba direcciones, no apariencias

Lee el dominio en la barra de direcciones antes de escribir nada. Una página de aspecto perfecto no prueba nada; lo que importa es el dominio. Para profundizar, consulta Ataques a la cadena de suministro.

Qué hacer si te ha pasado

1. 1Deja de interactuar con el sitio y desconecta tu wallet.
2. 2Si introdujiste una frase de recuperación, crea una wallet totalmente nueva con una frase de recuperación nueva y mueve de inmediato los fondos que queden.
3. 3Si firmaste una aprobación, revócala con un verificador de aprobaciones de confianza y luego plantéate mover los fondos a una dirección nueva.
4. 4Si introdujiste las credenciales de un exchange, cambia la contraseña, restablece la autenticación de doble factor y contacta con el soporte del exchange a través de su sitio oficial.
5. 5Registra pruebas: el anuncio, el dominio, los hashes de las transacciones y las marcas de tiempo.
6. 6Denúncialo al buscador, al proyecto suplantado y a través de nuestro formulario de denuncia de estafas.

Nuestra guía paso a paso sobre qué hacer de inmediato si tu wallet está comprometida explica la recuperación en detalle. Desconfía de cualquiera que después te contacte prometiendo recuperar los fondos: las estafas de recuperación van a por las víctimas recientes.

En resumen

Una posición destacada en el buscador es algo que se puede comprar, no una prueba de autenticidad. Los estafadores usan resultados patrocinados para poner sitios cripto casi idénticos delante de la gente justo cuando va a iniciar sesión o conectar una wallet. Verifica los sitios oficiales una vez, guárdalos en marcadores, sáltate los anuncios por completo y nunca escribas una frase de recuperación en un sitio web. Esos hábitos hacen que toda esta clase de ataques deje de afectarte.