El reporte de Akamai documenta operaciones que reutilizan código y diseño en cientos de sitios simultáneos para capturar datos de pago.
El Akamai Fraud and Abuse Report 2026 reveló dos operaciones de fraude que comparten una característica estructural: la capacidad de desplegar cientos de sitios falsos desde una infraestructura centralizada. En el caso más documentado, una campaña de retail fraudulento operó más de 1.200 dominios con extensión .shop apuntando a una única dirección IP. Los sitios reutilizaban el mismo HTML, JavaScript y diseños de páginas de pago, todos configurados para capturar números de tarjeta, fechas de vencimiento y códigos de seguridad. Una segunda operación, enfocada en la venta de entradas para un evento deportivo importante, replicó el modelo: múltiples sitios que suplantaban portales oficiales de ticketing y hospitalidad, todos enrutando información de pago e información personal hacia un mismo sistema de recolección.
Por qué la extensión .shop se convirtió en vector preferido
La elección de dominios .shop no es casual. Esta extensión genérica de nivel superior (gTLD) se asocia con comercio electrónico legítimo, lo que reduce la fricción inicial del usuario al evaluar la legitimidad de un sitio. Los atacantes registraron variaciones tipográficas de marcas conocidas bajo esta extensión, aprovechando que muchos consumidores no verifican la URL completa antes de ingresar datos de pago. La concentración de más de 1.200 dominios en una sola IP indica que la operación priorizó velocidad de despliegue sobre distribución de infraestructura: cada sitio era una copia funcional del anterior, modificando únicamente el nombre de dominio y elementos visuales mínimos para simular diferentes tiendas.
La reutilización de código tiene una ventaja operativa clara para los atacantes: permite reconstruir un sitio fraudulento en cuestión de horas después de un takedown. Akamai no especificó en su reporte cuántos de los 1.200 dominios estaban activos simultáneamente versus cuántos fueron reemplazos de sitios dados de baja, pero la arquitectura centralizada sugiere que la operación estaba diseñada para resistir acciones de mitigación puntuales.
El patrón se repite en fraude de ticketing con objetivo de alto perfil
La campaña de entradas falsas documentada por Akamai siguió una lógica similar: varios sitios que imitaban portales oficiales de venta de tickets y paquetes de hospitalidad para un evento deportivo importante, todos configurados para enviar datos capturados al mismo backend. El reporte no identificó el evento específico, pero la mención de «major sporting event» y la inclusión de portales de hospitalidad sugiere un objetivo de alta demanda donde los compradores están dispuestos a pagar precios premium y tienen menos tiempo para verificar la autenticidad del vendedor.
Este tipo de fraude explota ventanas temporales específicas: el período entre el anuncio de un evento y la fecha límite de compra, cuando la urgencia reduce la diligencia del comprador. La centralización del sistema de recolección en ambas operaciones (retail y ticketing) indica que los atacantes optimizaron para procesamiento de volumen, no para evasión sofisticada de detección por sitio individual.
Exposición estructural en América Latina por dependencia de gateways de pago globales
Aunque el reporte de Akamai no desagrega datos por región, la arquitectura de estas operaciones tiene implicancias directas para América Latina. Los sitios fraudulentos que capturan datos de tarjeta no necesitan procesar transacciones localmente: una vez obtenidos los datos, pueden ser monetizados en cualquier mercado donde esas tarjetas sean aceptadas. Brasil y México, con las tasas más altas de adopción de comercio electrónico en la región, son mercados objetivo naturales para campañas de phishing de retail. La preferencia por dominios .shop en lugar de ccTLDs (como .com.br o .com.mx) sugiere que los atacantes apuntan a consumidores que compran en sitios internacionales, un comportamiento común en segmentos de ingresos medios-altos en ciudades principales de la región.
La centralización de infraestructura también significa que un único punto de compromiso puede afectar a víctimas en múltiples países simultáneamente. Si un consumidor en Buenos Aires y otro en Ciudad de México ingresan datos en dos de los 1.200 dominios fraudulentos, ambos conjuntos de información terminan en el mismo sistema de recolección, probablemente para ser vendidos en lote en mercados clandestinos donde los datos de tarjetas latinoamericanas tienen cotización específica según país emisor y límite de crédito.
Lo que el reporte no documenta sobre velocidad de reposición
Akamai mencionó que los atacantes pueden reconstruir sitios fraudulentos en horas después de un takedown, pero el reporte no cuantificó la tasa de reposición observada ni especificó qué mecanismos de takedown fueron aplicados (suspensión de DNS, bloqueo de IP, notificación a registradores). Esta omisión es relevante porque la efectividad de las acciones de mitigación depende de dónde se apliquen en la cadena: bloquear la IP única que aloja los 1.200 dominios sería más eficiente que reportar cada dominio individualmente, pero requiere coordinación con el proveedor de hosting, que puede estar fuera de jurisdicciones cooperativas.
La ausencia de datos sobre tiempo promedio de vida de cada sitio fraudulento antes de ser detectado también limita la evaluación de impacto. Si los sitios permanecen activos días o semanas, el volumen de víctimas potenciales es significativamente mayor que si son dados de baja en horas. El reporte tampoco especificó si los 1.200 dominios fueron registrados en lote por un mismo actor o a través de servicios de registro automatizado que ocultan la identidad del registrante.
Nuestro análisis
La escala documentada por Akamai — más de 1.200 dominios operados desde una sola IP — confirma que el fraude de retail online ya no es artesanal. Es una operación industrial con infraestructura reutilizable y procesos optimizados para volumen. La elección de .shop como extensión preferida revela un entendimiento claro de cómo los consumidores evalúan legitimidad: la extensión correcta reduce fricción más que un certificado SSL o un diseño perfecto. La reutilización de código no es solo eficiencia operativa — es resiliencia ante takedowns. Cada sitio dado de baja puede ser reemplazado en horas porque el costo marginal de desplegar una copia adicional es cercano a cero.
El patrón se repite en ticketing porque la lógica es la misma: alta demanda, ventana temporal limitada, compradores dispuestos a actuar rápido. Lo que falta en el reporte es la métrica que más importa para evaluar efectividad de mitigación: cuánto tiempo permanece activo un sitio fraudulento promedio antes de ser neutralizado. Sin ese dato, no se puede determinar si las acciones de takedown actuales están reduciendo el volumen de víctimas o simplemente obligando a los atacantes a rotar dominios sin afectar su operación real. ¿Qué pasaría si los registradores de .shop implementaran verificación obligatoria de identidad comercial antes de permitir registro en lote de variaciones tipográficas de marcas conocidas?