El anzuelo tiene la textura amable de una buena noticia pero bajo esa promesa de regalo se despliega la modalidad de phishing más prolífica
No es la Guardia Civil: la estafa de la 'Operación Endgame' para robarte datos o dinero
El anzuelo tiene la textura amable de una buena noticia: un correo que anuncia que has sido seleccionado para recibir una caja misteriosa, un mensaje que promete un lote de prendas descatalogadas por menos de dos euros,o un SMS con la enseña reconocible de una cadena conocida que te asegura un premio. Bajo esa promesa de regalo se despliega, según ha advertido la Guardia Civil, la modalidad de phishing más prolífica del último año en España. Se trata de campañas de suplantación masiva a marcas populares para robar datos personales y bancarios.
Cómo funciona el engaño
El esquema, descrito con detalle por INCIBE en un aviso de importancia alta, advierte que se sigue una coreografía casi idéntica en todos los casos. Correos electrónicos masivos con un asunto llamativo y con un enlace que redirecciona a una web que imita la estética corporativa de la enseña, en la que se muestra una encuesta breve para "validar" al destinatario. Todo con la promesa de que al hacer todo esto el premio queda reservado, ya que quedan pocas unidades y, después, la oferta expira. Tras las preguntas, aparece el regalo a coste cero salvo un supuesto pago simbólico —normalmente inferior a dos euros— destinado a cubrir los gastos de envío.
Ese cobro trivial es, precisamente, el momento en el que el fraude se materializa. Se pide a las víctimas que introduzcan su nombre, apellido, código postal, país, un número de tarjeta, la fecha de vencimiento y el CVV. Al pulsar el botón de confirmación, la pasarela devuelve un mensaje de error: la tarjeta ha sido rechazada. Para ese momento, los ciberdelincuentes ya poseen toda la información sensible que necesitaban para operar en otros comercios, generar cargos recurrentes o vender los datos en foros clandestinos.
Las marcas usadas como reclamo
La radiografía de asuntos detectados en la propia alerta revela un ecosistema amplio y transversal: "Has sido seleccionado por SHEIN para recibir una Caja Misteriosa", "Expirará pronto: tu recompensa por el juego de 3 piezas Parkside", "¡Completa nuestra encuesta de Leroy Merlin y desbloquea un juego de herramientas Dexter!", "Listos para Cualquier Emergencia – Consigue tu Kit Mapfre", "Fagor Espresso – La Mejor Manera de Empezar el Día", "Asegura Tu Perfume La Vie Est Belle Hoy", "Tu Próximo Proyecto Necesita un Bosch" y "¡Felicidades! Tu Premio Tupperware Modular Mates Está Esperando". Las capturas incorporadas al aviso amplían la nómina con correos que suplantan a Lidl, El Corte Inglés, Carrefour y Druni.
De la misma forma, también se han visto campañas paralelas con la identidad de Zara, que ofrece supuestamente un lote de prendas por 1,98 euros a "todos los residentes en España mayores de 25 años" mediante publicaciones en Facebook desde una cuenta llamada Venta de sobras. La página fraudulenta, alojada en el dominio gift2store8.shop, replica el mismo ritual: verificación, cajas de regalo aleatorias, celebración simulada, formulario bancario. Decathlon ha sido igualmente objeto de suplantación con reclamos ficticios de kits de senderismo, sets de camping y bicicletas eléctricas Moma, casos que el propio fabricante ha denunciado.
Cómo detectar que el mensaje no es lo que aparenta
Los especialistas señalan cuatro indicios que revelan la falsificación: la dirección del remitente no coincide con el dominio oficial de la marca, los textos presentan errores ortográficos o mezclas de idiomas, aparecen palabras como "gratis" o "gana" con una insistencia sospechosa, y el enlace redirige a un dominio que combina de manera arbitraria letras y números o incorpora el nombre de la enseña como subdominio de una URL desconocida.
Es importante ser conscientes de que el dominio real es lo que aparece antes del último punto, y cualquier variación, como puede ser un guion añadido, un .shop en lugar de .com, una extensión regional inhabitual, debe encender la sospecha.
Qué hacer si ya se ha caído en la trampa
En caso de haber introducido los datos, se deben seguir cuatros pasos muy sencillos con la mayor brevedad posible:
- Contactar de inmediato con la entidad bancaria para bloquear la tarjeta o cancelar suscripciones no autorizadas
- Revisar los movimientos de la cuenta con periodicidad
- Conservar capturas de pantalla y correos como material probatorio
- Denunciar los hechos ante Policía Nacional o Guardia Civil aportando toda la documentación recopilada.
El teléfono 017 de la Línea de Ayuda en Ciberseguridad ofrece orientación gratuita y confidencial en estos supuestos, y el egosurfing permite comprobar si la información sustraída ha sido publicada o reutilizada en fraudes ulteriores.