Las marcas más suplantadas en Internet son Google Authenticator, Capital One, Disney+, Duolingo, Delta Air Lines y loterías

Estafas en redes sociales: marcas suplantadas para llevar a las víctimas a apuestas sin licencia.

Así funciona por dentro la operación fraudulenta que utiliza el nombre de marcas en las que ya confías

NordVPN ha destapado una operación criminal a gran escala que secuestra los logotipos y nombres de 400 marcas de confianza para redirigir a personas desprevenidas hacia casinos online no regulados.

«pwa_betterlinks» es el nombre en clave de una operación de estafa a gran escala en redes sociales que suplanta a marcas reconocidas para redirigir a los usuarios hacia casinos y sitios de apuestas en línea no regulados.

Son anuncios de pago en Facebook e Instagram suplantando marcas reconocidas.

Las víctimas que pulsan el anuncio ven una página falsa de Google Play Store prácticamente indistinguible de la real. Con un solo toque en «Instalar», acaban en un casino sin licencia que les pide un depósito.

Lo que ve una persona a la que va dirigido el anuncio: la página falsa de Google Play, en este caso suplantando a Crown Melbourne

«Lo que estamos viendo es, básicamente, un blanqueo de confianza. Los ciberdelincuentes toman la credibilidad que las empresas legítimas han tardado años en construir y la redirigen hacia sus propios fines. Para cuando la víctima se da cuenta de que algo va mal, ya ha depositado dinero en un casino del que nunca había oído hablar» Marijus Briedis, NordVPN

La tienda de apps falsa que se esconde en un anuncio de redes sociales

El recorrido de cada víctima comienza con un anuncio de pago en Facebook o Instagram. Una publicidad real y comprada que lleva implícita la legitimidad de una plataforma que la gente usa a diario. Al pulsar, el usuario accede a lo que parece ser una ficha auténtica de Google Play Store, con el logotipo de la marca, un nombre de desarrollador falsificado, una valoración de 4,9 estrellas y miles de reseñas fabricadas. La única pista visible es la dirección web en la barra del navegador: un dominio aleatorio en lugar de play.google.com.

Las marcas suplantadas icluyen casinos y loterías (Crown Melbourne, Holland Casino, EuroMillions), apps populares (Google Translate, Google Authenticator, YouTube Kids, Adobe Acrobat, Shazam), servicios financieros (Capital One, Credit Karma, Kalshi), plataformas de streaming (HBO Max, Disney+, Peacock) y viajes (Delta, United, Airbnb).

El botón de «Instalar» que no instala nada

Al pulsar «Instalar» se activa una barra de progreso falsa muy convincente. No se descarga ninguna app. Lo que realmente ocurre es que se añade un acceso directo en la pantalla de inicio del móvil, bajo el nombre y el icono de la marca suplantada. Se trata de una Progressive Web App (PWA), que no es una aplicación real.

Es una página web con apariencia de app que se coloca en la pantalla de inicio sin pasar por ningún control de la tienda de aplicaciones. El ciberdelincuente puede crear una nueva página falsa tan rápido como registre un dominio.

El proceso también suscribe de forma silenciosa al dispositivo a notificaciones push, que envían recordatorios de apuestas directamente a la pantalla de bloqueo y están diseñadas para ser difíciles de desactivar. Hasta el botón de «Atrás» está manipulado. En lugar de devolver al usuario a la página anterior, lo redirige a la oferta del casino.

Un producto comercial diseñado para evadir la detección

Antes de mostrar cualquier página real, cada clic pasa por una capa de camuflaje que comprueba si se trata de una persona o un escáner automatizado, incluidos los propios bots de revisión de anuncios de Facebook. A los verificadores se les muestra una página señuelo en blanco. Los usuarios reales pasan por el embudo hacia el casino falso. En la base de datos que tiene NordVPN, la página del casino se mostró 7261 veces, mientras que el señuelo se sirvió a los verificadores en 3153 ocasiones. Quienes realizan las comprobaciones nunca conocen lo que ven las víctimas de la estafa.

La red está estructurada como un producto comercial, no como una estafa puntual. A la cabeza se encuentra betterlinks[.]pro, una plataforma que se promociona abiertamente como un «constructor de PWA para afiliados» con camuflaje integrado y optimización para Facebook.

En el escalón intermedio se sitúan cerca de mil cuentas de afiliados, organizadas en más de 250 equipos, que alquilan la herramienta y compran tráfico en redes sociales para ejecutar las campañas. En la base están los casinos sin licencia y las redes CPA que pagan a los afiliados una comisión por cada usuario que se registra o deposita dinero, con registros capturados que vinculan la operación con la red Makeberry Affiliates y sus casinos.

Cómo protegerse

1. Una instalación real siempre abre la tienda oficial. Si al pulsar «Instalar» en un anuncio se abre una página web en lugar de Google Play Store o Apple App Store, detente de inmediato.
2. Comprueba la barra de direcciones. Una ficha auténtica de Google Play debe estar en play.google.com. Cualquier otra dirección web que muestre una página con aspecto de tienda de aplicaciones, por muy convincente que parezca, es falsa.
3. Revisa los permisos de notificaciones push. Ve a los ajustes de tu móvil y comprueba qué páginas web tienen permiso para enviarte alertas. Quita el acceso a cualquiera que no reconozcas.