El Mundial FIFA 2026 se ha convertido en uno de los principales señuelos utilizados por cibercriminales para desplegar campañas de fraude en línea dirigidas a aficionados, compradores de entradas y turistas. Decenas de alertas policiales y reportes de ciberseguridad publicados durante las últimas semanas muestran un aumento sostenido de sitios fraudulentos, campañas de phishing, tiendas falsas y plataformas diseñadas para obtener información financiera y credenciales de acceso de las víctimas.
Advertencia del FBI
Una de las advertencias más reciente provino del FBI en los Estados Unidos, que emitió una alerta pública para informar que actores maliciosos están suplantando la identidad de la FIFA mediante dominios falsificados creados específicamente para aprovechar el interés generado por el torneo. Según el organismo, estas páginas imitan la apariencia de los portales legítimos y son utilizadas para vender entradas falsas, paquetes de hospitalidad inexistentes y otros productos relacionados con el torneo.
De acuerdo con la información difundida por el FBI, los delincuentes registran dominios que incorporan modificaciones mínimas respecto de las direcciones oficiales, una técnica conocida como typosquatting. Las diferencias suelen ser difíciles de detectar para los usuarios y permiten que los sitios fraudulentos reproduzcan logotipos, formularios y procesos de compra similares a los utilizados por FIFA.
La agencia señaló que los cibercriminales buscan recopilar información sensible de los visitantes. Entre los datos que buscan, se encuentran nombres, direcciones físicas, correos electrónicos, números telefónicos y antecedentes financieros. El FBI explicó que estos antecedentes posteriormente pueden ser utilizados para cometer fraudes financieros, robo de identidad o la creación de cuentas fraudulentas.
Estadios fantasmas
Varios reportes de firmas de ciberseguridad privadas también muestran que la actividad fraudulenta opera a una escala considerable. Algunas investigaciones identificaron miles de dominios y cuentas fraudulentas relacionados con el Mundial registrados durante los últimos meses. Por ejemplo, firmas como Fortinet contabilizaron 1.700 cuentas fraudulentas de la FIFA (90% en facebook e Instagram) y unas 4.600 direcciones web falsas; mientras que Group-IB contabilizó unos 4.300 dominios de fraude.
Entre las campañas fraudulentas destaca una denominada Ghost Stadium (Estadio Fantasma), atribuida a un actor de amenazas que desarrolló unos 300 sitios falsos destinados principalmente a la venta fraudulenta de entradas premium.
Según los antecedentes publicados, la operación utiliza copias visuales de portales oficiales para convencer a los usuarios de realizar pagos por boletos inexistentes. Los sitios replican elementos gráficos asociados al torneo y presentan supuestas oportunidades exclusivas para acceder a partidos de alta demanda. Una vez completadas las transacciones, los compradores no reciben entradas válidas y, en numerosos casos, además entregan información personal y financiera a los operadores fraudulentos.
Los reportes indican que la sofisticada campaña de phishing podría generar pérdidas que van entre los 71 hasta los 474 millones de dólares, solo por el concepto de las entradas premium. Además, a finales de mayo circulaban en la dark web 2.513 pares de credenciales de cuentas de la FIFA obtenidas en robos masivos de información.
El especialista en concientización en ciberseguridad de NIVEL4, Augusto Oporto, comenta que en el contexto del mundial “la venta de entradas constituye una de las principales temáticas explotadas por los delincuentes”. En ese sentido, destaca que “el interés generado por la competencia, junto con la limitada disponibilidad de entradas, se está utilizando para crear falsas ofertas de acceso prioritario, descuentos especiales y reventas aparentemente legítimas”, y agrega que este tipo de campañas suelen difundirse mediante anuncios en motores de búsqueda, redes sociales y aplicaciones de mensajería, en todo el mundo.
Paquetes turísticos, servicios de streaming y premios falsos
Sin embargo, el especialista indica que las estafas no se limitan a la comercialización de entradas. Los informes también describen campañas asociadas a paquetes turísticos inexistentes, reservas hoteleras falsas y productos de merchandising que nunca son entregados a los compradores. Los atacantes utilizan páginas de comercio electrónico que simulan ser distribuidores oficiales para captar pagos y recopilar datos de clientes.
“En el caso de países como el nuestro, que participará de la cita global, el interés se ha volcado en comercios indirectos del evento, como los servicios de streaming, merchandising, premios y el fenómeno del álbum del mundial”, comenta Augusto Oporto.
El experto señala que la proliferación de aplicaciones y servicios de streaming no autorizados para atraer usuarios ha sido destacado en varios reportes como incentivo para atraer a las víctimas. “Varios reportes hablan de programas maliciosos distribuidos a través de plataformas que prometen acceso gratuito o exclusivo a transmisiones deportivas. Estas aplicaciones contienen capacidades para capturar credenciales bancarias y otra información sensible almacenada en los dispositivos comprometidos”, indica Oporto.
También se han detectado campañas de phishing orientadas al robo de cuentas, comenta. Algunos sitios fraudulentos replican formularios de autenticación asociados a servicios vinculados con FIFA y otros portales relacionados con el torneo, y cuyo objetivo es obtener credenciales legítimas que posteriormente pueden ser utilizadas para acceder a cuentas reales de usuarios.
Paralelamente, se han identificado esquemas de fraude que utilizan premios y sorteos falsos como mecanismo de atracción. Entre ellos figuran campañas con anuncios de productos oficiales del mundial, equipamientos de selecciones, artículos de colección limitada, servicios de streaming, y millonarios premios (hasta 2 millones de dólares). En estas estafas, los cibercriminales solicitan pagos, registros o información financiera para acceder supuestamente a los beneficios anunciados.
Estafas con el álbum del mundial
Un fenómeno que se sumó al fraude tradicional es la fiebre por completar el álbum del mundial, el cual está siendo utilizado como señuelo por los criminales con mucha fuerza en América Latina.
“Se han visto varios mensajes difundidos en WhatsApp, Instagram y Facebook que prometen álbumes gratuitos, figuritas exclusivas o promociones especiales supuestamente asociadas a Panini. En muchos casos, los enlaces conducen a sitios que solicitan información personal, registros de usuario o la participación en encuestas diseñadas para recopilar datos de las víctimas. Algunas campañas incluso fomentan que las personas compartan los mensajes con sus contactos antes de acceder al supuesto beneficio, multiplicando la campaña de ataque”, señala Oporto.
Las investigaciones también identificaron publicaciones que ofrecen álbumes, cajas de sobres o figuritas difíciles de conseguir a precios inusualmente bajos, además de sorteos y concursos falsos que utilizan imágenes oficiales del torneo para aparentar legitimidad.
Los especialistas recomiendan verificar siempre que las promociones provengan de canales oficiales y desconfiar de ofertas que requieran ingresar datos personales, realizar pagos anticipados o acceder a enlaces distribuidos mediante redes sociales y aplicaciones de mensajería.
Recomendaciones
La magnitud del fenómeno ha llevado a las autoridades a insistir en medidas de verificación antes de realizar cualquier compra relacionada con el torneo. En Estados Unidos, el FBI advirtió que la apariencia profesional de una página no constituye una garantía de legitimidad y recomendó ingresar directamente a los sitios oficiales en lugar de utilizar enlaces recibidos por correo electrónico, redes sociales o mensajes privados. Asimismo, el organismo aconsejó comprobar cuidadosamente las direcciones web antes de proporcionar información personal o financiera, evitar acceder a enlaces recibidos por correo electrónico o redes sociales y desconfiar de promociones que ofrecen descuentos extraordinarios, acceso prioritario o premios poco realistas relacionados con el Mundial 2026.
En nuestro país los expertos además sugieren utilizar métodos de pago que incorporen mecanismos de protección al comprador, activar la autenticación multifactor en las cuentas utilizadas para compras en línea y revisar periódicamente los movimientos bancarios para detectar actividades sospechosas, lo que es válido para la obtención de entradas como de streaming, merchandising y otras ofertas durante el evento.
Y en cuanto a las promociones asociadas al álbum oficial o al intercambio de láminas, es importante confirmar la autenticidad de las ofertas en los sitios oficiales de los fabricantes y evitar compartir información personal o financiera en páginas cuya legitimidad no pueda verificarse de forma independiente. Asimismo, llaman a tener cuidado con quienes se entablan conversaciones para el intercambio y verificar que se trate de productos legítimos.