SMISHING Y CLOAKING

La falsa página de error de Cloudflare que esconde una trampa de phishing detrás

Una nueva operación de smishing que suplanta a más de 260 marcas en 72 países muestra a los escáneres una inofensiva página de "Error 524" y muestra a las víctimas reales el formulario de phishing. Así funciona el truco, y así se reconoce.

SB

SafeBrowz Threat Research Organization Investigación de seguridad17 de junio de 202611 min de lectura

Lo que acaba de quedar al descubierto

El 3 de junio de 2026, la firma de inteligencia de amenazas Group-IB publicó un informe titulado "Error 524 Decoy: Unmasking a Global Smishing Operation Hiding Behind Error Pages" ("Señuelo Error 524: desenmascarando una operación global de smishing oculta tras páginas de error"). Describe una sola operación de smishing, bien organizada, activa desde la segunda mitad de 2025, que suplanta a más de 260 marcas en 72 países, con 4.389 instancias de dominios de phishing mapeadas hasta ahora. Help Net Security cubrió los hallazgos al día siguiente.

La operación está fuertemente concentrada en América Latina. Solo México concentra alrededor de 1.851 de los dominios mapeados, con Chile (529) y Colombia (258) detrás. Por sector, el de telecomunicaciones es el más suplantado, con 1.754 dominios, seguido de los servicios financieros y los programas de recompensas o fidelización al consumidor. El cebo llega por SMS, aprovechando las débiles protecciones contra la suplantación en el canal de mensajería, y deposita a la víctima en una pulida aplicación web de una sola página que pide datos de tarjeta y personales, para luego exfiltrarlos en tiempo real a través de una conexión WebSocket cifrada hacia el operador.

Sin embargo, nada de eso es la parte que merece tu atención. La parte que merece tu atención es el disfraz. Esta banda resolvió un problema que tiene todo operador de phishing, y lo resolvió con un falso mensaje de error que casi nadie cuestiona.

El problema que tiene todo sitio de phishing, y cómo este hace trampa

Una página de phishing tiene una vida corta y peligrosa. En el instante en que su enlace sale por mensaje de texto, empieza a recibir visitas de cosas que no son víctimas: los rastreadores de Google, los escáneres de seguridad de correo y SMS, los bots antiabuso de los proveedores de hosting, los repositorios antiphishing y los investigadores de seguridad hurgando en la URL. Si cualquiera de ellos ve el formulario de tarjeta, el dominio es denunciado, incluido en listas de bloqueo y dado de baja en cuestión de horas. El operador pierde la página antes de que rinda nada.

Así que la jugada inteligente es mostrar dos páginas distintas a dos públicos distintos. Mostrarles a las víctimas reales el formulario de phishing. Mostrarle a todos los demás algo que parezca roto y aburrido, para que sigan de largo y nunca lo denuncien. Esa técnica tiene nombre: cloaking (encubrimiento). La elección concreta de "aburrido" en esta operación es lo que la hace ingeniosa. En lugar de una página en blanco o un genérico 404, sirve una copia idéntica al píxel de la pantalla de tiempo de espera agotado de una pasarela de Cloudflare, esa que muestra códigos como Error 524. Para un escáner, un investigador o un proveedor de hosting, el sitio simplemente parece un servidor que está teniendo un mal día. Nadie presenta una denuncia de abuso por un tiempo de espera agotado.

Cómo decide la página qué mostrarte

La decisión se toma en el instante en que se abre el enlace, antes de que se cargue cualquier contenido real. La página ejecuta una rápida serie de comprobaciones sobre quien acaba de llegar y elige qué cara poner.

• Tu país, a partir de tu dirección IP. La página consulta un servicio de geolocalización para ver dónde está tu conexión. Si no estás en un país objetivo (México, Chile, Colombia y el resto del mapa de la campaña), muestra el señuelo del Error 524. Esto es geofencing: tu IP decide lo que se te permite ver. Un investigador en otro país, o un escáner corriendo en un centro de datos en algún lugar neutral, recibe la página de tiempo de espera y nada más.
• Si estás en un teléfono. El cebo de smishing está hecho para móvil, así que la página comprueba tu dispositivo. Un navegador de escritorio o un escáner automatizado que no parezca un teléfono móvil real es tratado como no-víctima y recibe el señuelo.
• Si llegaste por la vía esperada. Si faltan los parámetros de sesión correctos del enlace del SMS, la página asume que no eres el objetivo previsto y recurre a la pantalla de error.

Si superas todas las comprobaciones, el sitio cambia discretamente el falso error por la aplicación de phishing en vivo: una aplicación de una sola página ofuscada en Base64 que trae un falso inicio de sesión de marca o un formulario de tarjeta del tipo "reclama tu recompensa". Si fallas en cualquiera de ellas, estás viendo un error de Cloudflare que no existe. Dos páginas, una sola URL, dependiendo enteramente de quién pregunte.

Por qué esto derrota a los escáneres en los que confías

La mayor parte de la protección que se interpone entre un texto fraudulento y tu billetera inspecciona el mensaje o el enlace desde fuera. Un filtro de la operadora lee el SMS. Una pasarela de correo, si el cebo llegó por ahí, detona la URL en un entorno aislado. Un repositorio de reputación descarga la página y puntúa su contenido. Todos ellos funcionan enviando una solicitud al enlace y juzgando lo que reciben de vuelta.

El señuelo del Error 524 está diseñado para vencer exactamente esa solicitud. El entorno aislado no está en el país objetivo, así que recibe la página de tiempo de espera. El rastreador de reputación no es un teléfono real, así que recibe la página de tiempo de espera. El bot antiabuso del proveedor de hosting recibe la página de tiempo de espera y cierra el ticket. Cada escáner informa honestamente de lo que vio, y lo que vio fue un servidor roto. El formulario de phishing nunca se les mostró a ninguno de ellos. Estaba reservado para el único visitante que importa: una persona real, en un teléfono real, en el lugar correcto, que tocó el enlace del mensaje.

Esa es la verdad incómoda que esta campaña deja en evidencia. Una herramienta que juzga un enlace descargando su contenido puede quedar cegada por una página que sencillamente se niega a mostrar su contenido a las herramientas. El cloaking es genuinamente difícil para cualquier escáner, incluido el nuestro, porque la página oculta precisamente aquello que un escáner de contenido necesita ver.

Cómo son los cebos y los enlaces

El mensaje en sí es corto y corriente. Viste el disfraz de una marca que de verdad usas: tu operadora móvil, tu banco, un programa de fidelización o recompensas. Algo como un aviso de entrega fallida, un "tu cuenta está suspendida", una alerta de puntos por caducar o un pequeño reembolso esperando a ser reclamado. Hay un enlace. En la pantalla de un teléfono el enlace parece verosímil porque el nombre de la marca está metido en algún lugar dentro de él.

Los destinos de esta campaña prefieren el hosting barato o gratuito, donde un subdominio nuevo no cuesta nada y se levanta en segundos. Los ejemplos de abajo son ilustrativos de la forma que toman estos enlaces. Toca uno para pasarlo por el verificador en vivo más abajo en la página y ver qué puntuación obtiene un imitador de marca en hosting gratuito:

• correos-entrega-mx.vercel.app
• telcel-recompensa-mx.pages.dev

La pista es la misma que delata a la mayoría del phishing de suplantación de marca: el nombre de la marca aparece en la dirección, pero no como el dominio registrado real. Un subdominio de hosting gratuito como marca-algo.vercel.app o marca-reclama.pages.dev no es la marca. Cualquiera puede crear uno en menos de un minuto, y por eso precisamente las bandas de phishing los adoran. El dominio registrado real es la parte inmediatamente anterior a la primera barra simple, y para estas plataformas esa parte es el host, no la marca.

Señales de alarma que lo delatan siempre

No necesitas saber cómo funciona el cloaking para detectar esto. Las pistas son sencillas y estructurales.

• Un "error de Cloudflare" que luego se convierte en un formulario de inicio de sesión o de pago. Esta es la pista principal. Un tiempo de espera real de Cloudflare es un callejón sin salida, no una puerta. Si una página te muestra un tiempo de espera agotado y después aparece un inicio de sesión de marca o un formulario de tarjeta, el error era un disfraz.
• El enlace llegó en un mensaje que no esperabas. Las operadoras, los bancos y los programas de recompensas no impulsan acciones críticas de cuenta a través de un enlace de SMS no solicitado. El propio canal de llegada es la primera advertencia.
• La dirección es un subdominio de hosting gratuito. Un nombre de marca en vercel.app, pages.dev, netlify.app, web.app o similar no es esa marca. La raíz de la plataforma es real; un subdominio arbitrario en ella es lo que sea que un extraño haya puesto ahí.
• Solo funciona en tu teléfono. Si pruebas el mismo enlace en una computadora portátil y obtienes un tiempo de espera o un error, no es casualidad. La página se esconde del dispositivo que no quiere.
• Pide un número de tarjeta completo, un PIN o un código de un solo uso. Una página legítima de una operadora o un banco, a la que llegas por su propia app o escribiendo la dirección, no recoge una tarjeta completa más tu inicio de sesión más un código por SMS en una sola pantalla.
• Urgencia y un cebo pequeño. Un reembolso diminuto, un saldo de puntos que caduca, un paquete retenido por una pequeña tarifa. El importe se mantiene bajo para que las cuentas parezcan inofensivas y actúes antes de pensar.
• La página bloquea el comportamiento normal del navegador. Clic derecho deshabilitado, ningún texto legible antes del formulario, la barra de direcciones empujada fuera de la vista en el móvil. Los sitios reales no se esconden de ti.

Qué ve SafeBrowz en la red

Aquí va la versión honesta, porque la alternativa es marketing. Cuando una página se encubre activamente, ningún escáner obtiene una visión limpia del formulario de phishing, y eso incluye al nuestro. Si el sitio en vivo le muestra a nuestra descarga el mismo señuelo del Error 524 que muestra a cualquier otra herramienta, el análisis de contenido no tiene nada real que analizar. No vamos a fingir que un escáner de contenido ve mágicamente a través de una página construida para ocultar su contenido. Esa sería exactamente la falsa promesa que esta campaña está diseñada para explotar.

Lo que cambia las cuentas es apoyarse en señales que no requieren que la página coopere. SafeBrowz pondera varias señales independientes del contenido que marcan un destino sin importar lo que decida mostrar:

• Un nombre de marca en un dominio no oficial. Nuestra base de datos de marcas detecta una palabra clave de marca rastreada que aparece en un host que no es el dominio real de esa marca. La página señuelo puede esconder su formulario de tarjeta, pero no puede esconder la dirección en la que vive. El nombre de una operadora o un banco sentado en un subdominio de hosting gratuito es una señal de alarma por sí solo, antes de leer un solo byte del contenido de la página.
• Hosting gratuito y hosts imitadores. Un subdominio con estilo de marca en vercel.app, pages.dev, netlify.app o web.app se trata como no verificado por defecto, porque cualquiera puede crear uno. El propio host es la señal, independiente de la página.
• Cruce con listas de bloqueo y reputación. Una vez que se denuncia una sola instancia en una campaña de 4.000 dominios, los repositorios de amenazas compartidos iluminan a los dominios hermanos que comparten las huellas del kit, incluso a los que todavía sirven el señuelo.

Fíjate en el patrón: cada una de esas señales lee la dirección y la infraestructura, no la página renderizada. Esa es la única forma honesta de marcar un sitio que se niega a mostrar su cara real. El cloaking vence a los escáneres que preguntan "qué hay en esta página". Hace mucho menos contra una comprobación que pregunta "¿está una marca vistiendo un dominio que no es el suyo?".

Qué marcas y regiones serán las próximas

El cloaking es un kit, no un caso aislado, y los kits se alquilan y se reutilizan. El señuelo del Error 524 es ahora una técnica documentada, lo que significa que se acoplará a campañas que no tienen nada que ver con la banda original. Según la lógica de targeting ya visible, estos son los movimientos siguientes verosímiles.

• Operadoras de telecomunicaciones en nuevas regiones. Telecomunicaciones ya es el sector más suplantado aquí. Espera que los mismos cebos de recompensas de operadora y de suspensión de cuenta caminen hacia el norte desde América Latina hacia marcas de operadoras de Estados Unidos, Canadá y Europa, con señuelo incluido.
• Bancos y billeteras con ccTLD regionales. Los servicios financieros son los segundos en la lista. Una página encubierta vistiendo el inicio de sesión de un banco regional, servida solo dentro del país de origen de ese banco, es una próxima construcción natural.
• Programas de fidelización y recompensas. Las millas de aerolínea, los puntos de supermercado y las apps de recompensas de comercios son cebos de baja sospecha y gran alcance, con un gancho incorporado de "reclama antes de que caduque".
• Marcas de mensajería y servicios postales. El cebo de entrega fallida es universal, y el gancho de la pequeña tarifa encaja a la perfección con el señuelo. Mira nuestra cobertura del SMS falso de entrega de USPS y la ola global de mensajes de peajes y multas de tránsito.
• Suplantación de gobierno e impuestos. Las denuncias de estafas de suplantación van en aumento, con las pérdidas por suplantación de organismos públicos entre las categorías de más rápido crecimiento en la alerta de tendencias de la FTC de mayo de 2026. Una página encubierta de devolución de impuestos es un encaje obvio.

La marca en el frente del mensaje no para de cambiar. El truco de cloaking que hay detrás no cambia. Por eso precisamente una defensa apuntada a la estructura vence a una apuntada a la marca.

Por qué las comprobaciones en el navegador e independientes del contenido vencen al filtrado de correo aquí

Los filtros de correo y de SMS hacen un trabajo real, pero esta campaña está construida para pasar de largo justo a su lado. Juzgan el enlace alcanzándolo y descargándolo, y el señuelo está diseñado para que cualquier cosa que se acerque desde un entorno aislado, un centro de datos o el país equivocado reciba la inofensiva página de tiempo de espera. El filtro ve un servidor roto, lo puntúa como limpio y sigue adelante. El formulario de phishing nunca estuvo en su menú.

Un escáner en la capa del navegador está más cerca de la acción, porque se sienta en el mismo dispositivo, en el mismo lugar, que la víctima real, que es el único contexto donde la página deja caer su disfraz. Pero la ventaja más duradera ni siquiera es ver la página desenmascarada. Es leer las cosas que la página no puede ocultar: un nombre de marca rastreado viviendo en un host de hosting gratuito, un dominio que coincide con la huella de una campaña conocida, una dirección que no tiene nada que hacer cargando esa marca. Esas señales están presentes en el instante en que el enlace existe, muestre la página su cara real o su falso error. Un filtro de correo que depende de detonar el contenido es exactamente la herramienta que el señuelo del Error 524 fue construido para derrotar. Una comprobación que lee la dirección en lugar de la página renderizada es la que todavía tiene algo que decir.

Cómo bloquea SafeBrowz esta amenaza

SafeBrowz ejecuta una arquitectura de detección de 3 capas: Local + APIs + IA.

• Capa 1 - Detección local: más de 60 patrones de URL + más de 550 firmas específicas de marca (incluidas variantes homógrafas en cirílico y Punycode) + lista blanca/negra comunitaria, todo ejecutándose directamente en la extensión antes de que la página se renderice. Esta es la capa que más importa contra el cloaking: marca una palabra clave de marca rastreada en un host no oficial o de hosting gratuito sin necesitar que la página coopere, así que el señuelo del Error 524 no tiene nada tras lo que esconderse.
• Capa 2 - Comprobaciones de API: agrega Google Safe Browsing, PhishTank, URLhaus, ScamAdviser, además de la consulta de antigüedad del dominio y más de 30 TLD fraudulentos. Una vez que se denuncia una sola instancia en una campaña grande, el cruce de reputación atrapa a los dominios hermanos que todavía sirven el señuelo.
• Capa 3 - Análisis profundo con IA: análisis de suplantación de marca consciente del contenido en más de 100 idiomas, para los casos en que la página sí se renderiza en el mismo contexto que el usuario, atrapando un imitador recién creado que ninguna lista de bloqueo ha visto todavía.

Las firmas de detección se derivan de la investigación de inteligencia de amenazas y de nuestra base de datos interna de marcas, no de los datos de navegación de los usuarios. SafeBrowz no almacena el historial de navegación de cada usuario.

Para quienes no quieran instalar nada, el mismo motor impulsa el verificador público de URL gratuito. Pega cualquier enlace de un texto sospechoso y obtén un veredicto en segundos.

Qué hacer ahora mismo

Si un enlace de un texto acaba de mostrarte un error y luego un formulario, o no estás seguro, esta es la respuesta correcta completa.

1. No introduzcas un número de tarjeta, un inicio de sesión ni un código de un solo uso desde un enlace de un texto. Nunca. El enlace es toda la superficie de ataque. Un problema real de cuenta siempre se puede resolver acudiendo a la marca directamente.
2. Escribe tú mismo la dirección de la marca. Abre una pestaña nueva y escribe el dominio de la operadora, el banco o el programa que ya conoces, o abre su app oficial. No navegues desde el texto, y no busques y toques el primer anuncio. Si debes algo o una cuenta está realmente marcada, lo verás ahí.
3. Recuerda que un error real de Cloudflare es un callejón sin salida. Un error de pasarela genuino de cloudflare.com nunca lleva a un formulario de inicio de sesión o de pago. Si una página "524" se convierte en uno, era un señuelo, no un error.
4. Reenvía el mensaje al 7726 (SPAM) para que tu operadora pueda marcar al remitente.
5. Denúncialo. En América Latina, repórtalo a la Policía Cibernética de tu país (en México, la Guardia Nacional Cibernética, y la Condusef si tu banco está implicado; en Chile, la PDI Cibercrimen; en Colombia, el CAI Virtual de la Policía Nacional). También puedes presentar la denuncia ante la FTC en reportfraud.ftc.gov y ante el Centro de Denuncias de Delitos en Internet del FBI en ic3.gov, además del contacto real de fraude o abuso de la marca suplantada. Incluye el remitente, el enlace y una captura de pantalla.
6. Después borra el mensaje.

Si ya introdujiste los datos de la tarjeta, llama a tu banco usando el número del reverso de tu tarjeta, congela o bloquea la tarjeta en tu app bancaria de inmediato y vigila tus movimientos, porque este kit exfiltra los datos de la tarjeta en tiempo real. Si entregaste un inicio de sesión o datos personales, cambia esa contraseña ahora y activa la verificación en dos pasos. Nuestra guía completa "Me estafaron, ¿qué hago ahora?" cubre en detalle el plan de acción de la primera hora.

Preguntas frecuentes

¿Una página de Error 524 de Cloudflare es una estafa?

Un Error 524 real de Cloudflare es un mensaje genuino de "se agotó el tiempo de conexión" y no es en sí mismo una estafa. La estafa es cuando esa página de error es falsa y actúa como señuelo: se muestra a los escáneres y a los visitantes fuera de la región para que el sitio parezca roto, mientras que a las víctimas reales en un teléfono dentro del país objetivo se les muestra un inicio de sesión o un formulario de pago de phishing. La regla es sencilla. Un error real de Cloudflare es un callejón sin salida. Si se convierte en un inicio de sesión o un formulario de tarjeta, era un disfraz.

¿Por qué el enlace mostró un error en mi computadora pero funcionó en mi teléfono?

Es el cloaking funcionando según lo diseñado. La página comprueba si estás en un dispositivo móvil y si tu IP está en un país objetivo. Un navegador de escritorio, o una conexión desde la región equivocada, es tratado como no-víctima y recibe la falsa página de Error 524. El contenido real de phishing está reservado para teléfonos en los países objetivo. La discrepancia es una fuerte señal de que el enlace es malicioso.

¿Qué es el cloaking en el phishing?

El cloaking es mostrar contenido distinto a visitantes distintos desde la misma URL. Una página de phishing detecta si el visitante parece un objetivo real (dispositivo correcto, país correcto, llegado desde el cebo) frente a un escáner o investigador, y muestra el señuelo inofensivo a estos últimos mientras reserva el formulario malicioso para los primeros. Así es como las páginas fraudulentas permanecen fuera de las listas de bloqueo más tiempo: las herramientas que las denunciarían nunca ven la versión peligrosa.

¿Cómo ayuda el geofencing a los estafadores?

El geofencing usa tu dirección IP para determinar tu país. La página de phishing solo se revela a los visitantes dentro de los países objetivo de la campaña y muestra a todos los demás el señuelo del Error 524. Esto oculta la página a los equipos de seguridad, los rastreadores y los bots antiabuso de hosting que están en otra parte, de modo que el dominio sobrevive más tiempo y alcanza a más víctimas reales antes de la baja.

¿Puede SafeBrowz atrapar una página que se encubre a sí misma?

Honestamente, el cloaking es difícil para cualquier herramienta, porque la página oculta su contenido real a todo lo que no parezca una víctima dentro de la región. SafeBrowz no depende de ver el formulario oculto. Se apoya en señales independientes del contenido que marcan el destino sin importar lo que muestre la página: un nombre de marca rastreado en un host no oficial o de hosting gratuito, un dominio conocido como malicioso o con la huella de una campaña, y los repositorios de reputación. Esas señales leen la dirección y la infraestructura, no la página renderizada, así que el señuelo del Error 524 no tiene nada tras lo que esconderse.

La página usó el logo y el nombre reales de mi banco. ¿Eso la hace real?

No. Los logos, los nombres de marca e incluso un diseño de inicio de sesión copiado son triviales de reproducir. El señuelo y el formulario de phishing son ambos solo páginas web que un extraño construyó. Lo que importa es la dirección en la que vive. Una marca real de un banco o una operadora en un subdominio de hosting gratuito como marca-login.vercel.app o marca-reclama.pages.dev no es esa marca, por perfecto que se vea el logo. Verifica únicamente escribiendo el dominio propio de la marca o abriendo su app oficial.

Introduje mi tarjeta en una de estas páginas. ¿Y ahora qué?

Actúa rápido, porque este kit roba los datos de la tarjeta en tiempo real. Llama a tu banco usando el número del reverso de tu tarjeta, congela o bloquea la tarjeta en tu app bancaria y vigila tus movimientos por si hay cargos desconocidos. Si también introdujiste un inicio de sesión, cambia esa contraseña y activa la verificación en dos pasos. Denúncialo a la Policía Cibernética de tu país y a la Condusef si es un asunto bancario en México, y también ante reportfraud.ftc.gov e ic3.gov, además de a la línea de fraude de tu banco.

¿Cómo denuncio uno de estos textos de smishing?

Reenvía el mensaje al 7726 (SPAM) para marcarlo con tu operadora. Presenta una denuncia ante la Policía Cibernética de tu país (en México, la Guardia Nacional Cibernética y la Condusef; en Chile, la PDI Cibercrimen; en Colombia, el CAI Virtual), incluyendo el remitente, el enlace y una captura de pantalla. También puedes reportarlo a la FTC en reportfraud.ftc.gov y al Centro de Denuncias de Delitos en Internet del FBI en ic3.gov. Denuncia la suplantación al contacto real de fraude o abuso de la marca. Después borra el texto.

Instala SafeBrowz gratis

Añade la extensión de navegador que ejecuta automáticamente cada comprobación de este artículo, en cada página, antes de que se renderice. Gratis para siempre.

Añadir a Chrome Añadir a Firefox Añadir a Edge