EXPLICADOR DEL AVISO DEL FBI

Aviso del FBI 2026: las páginas de inicio de sesión falsas se ocultan tras redirecciones que engañan a los escáneres de URL

El FBI afirma que los estafadores ya desvían a las víctimas reales a páginas de inicio de sesión falsas mientras muestran a los escáneres y a los investigadores una página inofensiva y ajena. Un enlace que "da un resultado limpio" puede seguir siendo una trampa. Esto es lo que significa y cómo protegerte.

SB

SafeBrowz Threat Research Organization Investigación de seguridad29 de junio de 202611 min de lectura

Qué es realmente un sistema de distribución de tráfico

Un sistema de distribución de tráfico es una pieza de infraestructura que se sitúa entre un enlace y su destino y decide a dónde enviar a cada visitante. En el marketing legítimo dirige los clics de los anuncios a la página de destino correcta según la región o el dispositivo. En manos de los delincuentes, explica el FBI, se convierte en una centralita para el fraude. El aviso describe un TDS como tecnología que se usa para "encaminar a los visitantes del tráfico de internet hacia distintos destinos después de que los usuarios visitan páginas web, hacen clic en enlaces de anuncios, se apuntan a promociones y descuentos o descargan una aplicación".

La palabra clave es distintos. Dos personas pueden hacer clic en exactamente el mismo enlace y acabar en dos lugares completamente diferentes. Una recibe una página de aspecto real pero inofensiva. La siguiente recibe un clon idéntico al píxel del inicio de sesión de un banco o de un correo. La decisión ocurre en una fracción de segundo, antes incluso de que la página se cargue, según quién parezca ser el visitante.

Según el FBI, el TDS delictivo perfila a cada visitante por atributos como la dirección IP, la geografía, el navegador, el sistema operativo y el tipo de dispositivo. Ese perfil decide la ruta. Un visitante que coincide con el perfil objetivo, una víctima probable en el país adecuado y en el tipo de dispositivo adecuado, es encaminado hacia el fraude. Un visitante que parece un investigador, un servicio de escaneo o alguien fuera de la región objetivo es encaminado en su lugar hacia una página limpia.

Cloaking: por qué un escáner ve una cosa y tú ves otra

Este encaminamiento selectivo se llama cloaking (encubrimiento), y es la parte del aviso del FBI que más importa a cualquiera que confíe en una herramienta de "comprueba este enlace". El aviso lo dice sin rodeos: "Un ciberdelincuente puede usar un TDS para identificar a usuarios de regiones que no son su objetivo, lo que le permite evitar la detección al mostrar contenido seguro a los objetivos no deseados, incluidos los investigadores de seguridad".

Léelo otra vez, porque ese es todo el problema. La infraestructura delictiva muestra deliberadamente contenido seguro a los investigadores de seguridad. Cuando un escáner de URL automatizado visita el enlace, a menudo parece un investigador: una dirección IP de un centro de datos, una región inusual, un navegador sin interfaz, ninguna huella de dispositivo normal. Así que el TDS le sirve la página inofensiva. El escáner registra un veredicto limpio. Mientras tanto, una persona real con un teléfono en el país objetivo hace clic en el mismo enlace y recibe la trampa de credenciales.

Así es como una página de inicio de sesión falsa pasa una comprobación y aun así roba contraseñas. La comprobación fue honesta. Solo vio el señuelo. El FBI también señala que, para ocultar el destino final, los sistemas encaminan a las víctimas a través de "una compleja cadena de nodos intermedios para esconder el destino final malicioso, lo que dificulta rastrearlo y bloquearlo". Un escáner que sigue el primer salto y se detiene, o al que la cadena redirige a una página limpia, nunca llega a la página en la que acaba la víctima.

Cómo se empuja a las víctimas hacia la cadena

La maquinaria de redirección solo funciona si la gente hace clic en el primer enlace, así que el FBI enumera las formas habituales de canalizar a las víctimas. Cita los enlaces en correos de phishing, el envenenamiento de la optimización en buscadores que promueve enlaces de anuncios fraudulentos que imitan a los legítimos, y el compromiso de sitios web legítimos que luego redirigen en silencio a sus propios visitantes.

Esa última vía es la más perversa. Un sitio web en el que has confiado durante años queda comprometido, y un script oculto empieza a alimentar al TDS con una parte de sus visitantes. No hiciste clic en un anuncio dudoso ni en un correo sospechoso. Fuiste a un sitio que conocías, y de camino, la centralita te atrapó. Desde el destino, señala el FBI, los delincuentes redirigen selectivamente a los usuarios a "sitios de inicio de sesión comprometidos o falsos que pueden alojar páginas de phishing para el fraude financiero en línea" o les solicitan descargar actualizaciones de software que contienen malware.

Lo que SafeBrowz ve en la red

Aquí es donde la diferencia entre una comprobación puntual de un enlace y un motor que corre en el navegador se vuelve concreta. Un escáner independiente echa un único vistazo al enlace, a menudo desde un entorno que el encubrimiento reconoce y desactiva. SafeBrowz ejecuta su detección de 3 capas (Local + APIs + IA) y está hecho para manejar exactamente el patrón de redirección y encubrimiento que describe el FBI.

• La capa 1, la detección local, resuelve el host final de aterrizaje, no solo el enlace con el que empezaste. Seguir una cadena de redirección hasta donde realmente termina es la primera defensa frente a un primer salto de aspecto limpio. La capa 1 ejecuta luego más de 60 firmas de patrones de URL y más de 550 firmas de marcas contra ese host final. Si la página que finalmente se carga lleva una marca conocida (tu banco, tu proveedor de correo, un exchange de cripto) en un dominio que no es el oficial de esa marca, lo marca sin contenido, antes de que termine de renderizarse cualquier formulario de inicio de sesión. Un clon no tiene que engañar a un modelo para que lo atrapen aquí. Basta con el desajuste entre la marca y el dominio.
• La capa 2, las comprobaciones de reputación y API, agrega inteligencia de amenazas que incluye Google Safe Browsing, PhishTank, URLhaus, ScamAdviser y señales de TLD de estafa para detectar destinos que otros sistemas ya han quemado. Esta es la capa que un encubrimiento puro está diseñado para esquivar, que es exactamente la razón por la que es una de tres y no el motor entero.
• La capa 3, el análisis de contenido con IA a través de nuestro proxy (Premium), lee la página en vivo que la víctima recibe de verdad, en más de 100 idiomas. Como la extensión corre en tu navegador, en tu dispositivo real, en tu región real, la página que analiza es la misma que el TDS decidió servirte, no un señuelo saneado entregado a un escáner. Reconoce la imitación de formularios de inicio de sesión y los diseños de captura de credenciales, y puede marcar un clon recién creado en el momento en que se carga, antes de que ninguna lista de bloqueo lo tenga.

El alcance honesto: ningún motor lo atrapa todo, y un operador decidido aún puede encubrirse frente a cualquier señal aislada. Lo que cambia las probabilidades es contar con tres capas independientes y, sobre todo, analizar la página desde dentro del propio navegador de la víctima en lugar de desde un servicio de escaneo que el encubrimiento puede reconocer y al que puede entregar un señuelo.

Hacia dónde se extiende a continuación el cloaking con TDS

El encubrimiento no es nuevo, pero que el FBI le ponga su nombre en un aviso público te dice que se ha vuelto algo generalizado, y las técnicas generalizadas se vuelven más baratas y automatizadas. Algunas direcciones que merece la pena vigilar.

El cloaking como servicio de pago. La parte difícil de este ataque es la lógica de encaminamiento y el suministro de dominios nuevos, no la página falsa. Espera más paneles de "antibot" y "filtrado" vendidos a estafadores poco cualificados, de modo que un kit básico de phishing venga con evasión de investigadores incorporada por defecto. Eso eleva el tiempo de supervivencia de las páginas de inicio de sesión falsas en todos los frentes.

Segmentación más fina por clic. El mismo perfilado que decide víctima frente a investigador puede afinarse aún más: servir la trampa solo a un país concreto, a los clientes de un banco concreto inferidos por el referrer, incluso a una franja horaria concreta después de una filtración. Una segmentación estrecha significa que menos muestras de escáner llegan a ver la versión maliciosa, lo que hace que las listas de bloqueo estáticas reaccionen más despacio.

Anuncios maliciosos y envenenamiento del SEO como puerta de entrada. El FBI ya enumera el envenenamiento del SEO y los anuncios fraudulentos como puntos de entrada. A medida que los resultados de búsqueda mezclan más enlaces resumidos por IA y colocaciones patrocinadas, un resultado envenenado que pasa por un TDS es más difícil de verificar para un lector casual, porque el enlace visible y el destino final ya no son lo mismo.

El hilo conductor: la tendencia apunta a separar lo que ve un escáner de lo que recibe una víctima. La detección que solo llega a ver la vista del escáner seguirá perdiendo terreno. La detección que ve la vista de la víctima es el contraataque.

Por qué un motor en el navegador supera aquí a una pasarela o a una lista de bloqueo

Vale la pena ser preciso sobre por qué esta técnica derrota a algunas defensas y a otras no, porque la arquitectura lo es todo.

Una pasarela de correo escanea el enlace, no la página en la que aterrizas. Las pasarelas de seguridad a menudo precargan los enlaces para evaluarlos. Un TDS que perfila al visitante le servirá encantado a esa pasarela una página limpia, y luego te servirá la trampa cuando hagas clic minutos después desde tu teléfono en tu salón. La pasarela vio el señuelo. Tú ves lo real. La pasarela lo dio por bueno.

Una lista de bloqueo estática va siempre un paso por detrás de una cadena nueva. Las listas de bloqueo funcionan con dominios y URL que ya se han denunciado. Un TDS levanta constantemente nodos intermedios y hosts finales nuevos, y se esfuerza específicamente por ocultar el destino final para que nunca se muestre ni se denuncie en primer lugar. Para cuando un dominio cae en una lista, la campaña ya ha rotado.

Un motor en el navegador evalúa la página después de que la redirección se resuelve, en tu dispositivo. Esta es la ventaja estructural. SafeBrowz corre en el punto en el que el encubrimiento ya ha tomado su decisión y te ha servido, específicamente a ti, la página que quiere que veas. No hay señuelo que entregarle. Sigue la cadena hasta el final y lee lo que realmente se renderizó, con imitación de marca y formularios de credenciales incluidos. La misma propiedad que hace eficaz al encubrimiento frente a los escáneres remotos, que muestra contenido distinto a visitantes distintos, queda neutralizada cuando el detector es el visitante.

Nada de esto hace infalible a un motor de navegador. Lo hace la capa adecuada para esta amenaza concreta. Combínalo con el hábito humano que recomienda el FBI, nunca iniciar sesión desde un enlace, y el encubrimiento pierde su principal ventaja.

Cómo bloquea SafeBrowz esta amenaza

SafeBrowz ejecuta una arquitectura de detección de 3 capas: Local + APIs + IA. Frente al patrón de redirección encubierta del aviso del FBI, el motor está diseñado para juzgar el destino, no el señuelo.

• Capa 1, local: más de 60 firmas de patrones de URL y más de 550 firmas de marcas corren dentro de la extensión. Resuelve el host final de aterrizaje tras la cadena de redirección y marca sin contenido una marca conocida que aparece en un dominio no oficial, de modo que una página de inicio de sesión falsa se atrapa antes de que su formulario termine de cargarse.
• Capa 2, APIs: agrega Google Safe Browsing, PhishTank, URLhaus, ScamAdviser e inteligencia de TLD de estafa para detectar destinos que otros ya conocen.
• Capa 3, análisis profundo con IA (Premium): el análisis de contenido con IA a través de nuestro proxy lee la página en vivo que la víctima recibe de verdad, en más de 100 idiomas, reconoce la imitación de páginas de inicio de sesión y de captura de credenciales, y puede marcar un clon recién creado en el momento en que se carga.

Alcance honesto: SafeBrowz marca la página de inicio de sesión falsa en el dispositivo que aterriza en ella, que es el lugar correcto para romper una redirección encubierta. No puede deshacer el robo de una contraseña que ya escribiste y enviaste, y por eso el hábito de no iniciar sesión nunca desde un enlace, junto con la verificación en dos pasos, va al lado del motor, no por detrás. La extensión gratuita de navegador hace esto en escritorio, y la app de SafeBrowz para Android en Google Play aplica el mismo motor a los enlaces que abres en tu teléfono, donde aterrizan muchos de estos SMS y anuncios.

Las firmas de detección provienen de la investigación de inteligencia de amenazas y de nuestra base de datos interna de marcas, no de los datos de navegación de los usuarios. SafeBrowz no almacena el historial de navegación por usuario.

Qué aspecto tienen estos enlaces encubiertos

No puedes distinguir de forma fiable un enlace encubierto a simple vista, y ese es el sentido del aviso. Pero los destinos siguen compartiendo la vieja forma: un nombre de marca real pegado a un dominio que no es de la marca, alcanzado solo tras una redirección. Estos son patrones ilustrativos, no dominios reales, para mostrar la forma que los atacantes reutilizan.

• secure-account-verify-login.com (el inicio de sesión real de un banco vive en el dominio propio del banco, nunca en un host genérico de "secure-verify")
• mail-signin-session-renew.net (tu proveedor de correo no traslada su inicio de sesión a un dominio aparte de "session-renew")
• tracking-redirect.click/r/aB3xQ (un redirector corto que te traspasa; la página final es lo que importa, no este salto)

La lección no es memorizar dominios malos. Es que el enlace en el que hiciste clic y la página en la que acabas pueden ser dos cosas distintas, y solo la segunda puede hacerte daño. Así que juzga la página de la barra de direcciones en el momento en que vas a escribir una contraseña, no el enlace en el que confiaste de camino.

Señales de alarma: cuándo dar por hecho que una página de inicio de sesión es una trampa

• Llegaste haciendo clic en un enlace de un correo, SMS, mensaje directo o anuncio, en lugar de escribir la dirección. Esto por sí solo es la vía de riesgo número uno del FBI.
• La barra de direcciones no es exactamente el dominio oficial. Palabras de más, guiones, un código de país raro o un nombre de marca enterrado dentro de un host más largo son todos indicios.
• Rebotaste por una o varias redirecciones para llegar. Un inicio de sesión legítimo no suele hacerte pasar por una cadena de hosts desconocidos.
• La página exige volver a iniciar sesión con urgencia para "verificar", "asegurar" o "renovar" una cuenta, con una fecha límite. La urgencia fabricada es el indicio más antiguo.
• Pide más que tu contraseña: un número de tarjeta, un código de un solo uso por teléfono, una frase semilla. Los inicios de sesión reales no recopilan eso de camino.
• Vino de un anuncio de búsqueda o de un resultado de búsqueda envenenado en vez del propio sitio de la marca. El FBI cita específicamente el envenenamiento del SEO y los anuncios fraudulentos.

Cualquiera de estas es razón suficiente para parar. Dos o más, y deberías dar por hecho que la página es hostil y cerrarla.

Qué hacer ahora mismo

El consejo del FBI dirigido a particulares y el hábito práctico que derrota al encubrimiento son el mismo: no dejes que un enlace decida dónde inicias sesión.

1. Nunca inicies sesión desde un enlace. Ni de un correo, ni de un SMS, ni de un anuncio. Si un mensaje dice que tu cuenta necesita atención, sal del mensaje y llega a la cuenta por tu cuenta.
2. Escribe tú mismo el dominio o usa un marcador guardado. Abre una pestaña nueva y escribe la dirección oficial, o usa un marcador que creaste cuando sabías que estabas en el sitio real. Esto evita por completo la cadena de redirección, que es de lo que depende el encubrimiento.
3. Revisa la barra de direcciones antes de escribir una contraseña. El FBI aconseja verificar que la URL sea auténtica, y advierte de que una URL maliciosa puede parecerse a una real o estar en un subdominio de un dominio legítimo. Lee el dominio registrado real, de derecha a izquierda, en el momento de iniciar sesión.
4. Activa la verificación en dos pasos. Si una contraseña robada no basta para entrar, una sola página encubierta hace mucho menos daño. Prefiere una app de autenticación o una llave de hardware antes que los códigos por SMS siempre que puedas.
5. Denúncialo a las autoridades. En España, avisa al INCIBE en el 017 o en incibe.es y presenta una denuncia ante la Policía Nacional o la Guardia Civil. En Estados Unidos, denúncialo al FBI en ic3.gov (Internet Crime Complaint Center, IC3); presentar la denuncia ayuda a los investigadores a mapear estas redes de redirección. Incluye el enlace en el que hiciste clic y la dirección en la que acabaste.

Actualizado el 29 de junio de 2026.

En resumen: el aviso del FBI es que un enlace y la página en la que aterriza pueden ser dos cosas distintas por diseño, así que un resultado de escaneo limpio nunca es permiso para escribir tu contraseña. Nunca inicies sesión desde un enlace, escribe tú mismo la dirección, activa la verificación en dos pasos y pon SafeBrowz en tu navegador para que la página de inicio de sesión falsa encubierta se juzgue en tu dispositivo, donde el señuelo no puede llegar.

Preguntas frecuentes