La evolución del cibercrimen financiero en América Latina ha cruzado el umbral de la automatización simple. Tradicionalmente, los esquemas fraudulentos de captación de capital (boiler rooms) dependían de envíos masivos de correo no deseado con tipografías rudimentarias y pasarelas de pago genéricas. Sin embargo, la convergencia de modelos generativos de video sintético (deepfakes), la compra programática de publicidad en plataformas corporativas y la operación coordinada de operadores telefónicos en tiempo real han profesionalizado estas operaciones delictivas. Los atacantes ya no buscan vulnerar el sistema operativo mediante un exploit de código; atacan directamente la percepción cognitiva del usuario explotando la confianza institucional de figuras públicas, medios de prensa y entidades bursátiles legítimas.
Frente a esta sofisticación, el laboratorio de investigación de ESET Latinoamérica publicó una reconstrucción forense de una campaña fraudulenta transnacional que opera activamente en la región sudamericana y se propaga hacia Centroamérica. La investigación, dirigida por el especialista en seguridad Rodrigo Álvarez, expone una infraestructura delictiva en cinco fases que vulnera los filtros publicitarios de la bandeja de entrada de Gmail, utiliza medios periodísticos clonados (typosquatting de marca), genera material audiovisual manipulado con un 99% de certeza mediante algoritmos de detección y suplanta la identidad del bróker financiero multinacional VT Markets para desviar fondos hacia cuentas bancarias y billeteras virtuales no auditadas.
Radiografía Operativa: Desglose Forense de la Infraestructura del Fraude (ESET 2026)
| Fase de la Cadena de Ataque | Vector Técnico y Táctica Empleada | Señuelos y Recursos Tecnológicos | Objetivo Psicológico y Técnico |
| 1. Vector de Infiltración Inicial | Publicidad programática en bandeja de entrada (Gmail Ads). | Anuncios fraudulentos validados con rótulo de “Creado/editado con IA”. | Superar los filtros antispam del correo y segmentar a usuarios vulnerables. |
| 2. Suplantación de Prensa (Spoofing) | Clonación de portales de noticias (Infobae, Clarín, La Nación, TN). | Narrativas de enriquecimiento rápido asociadas a energía (Argentina LNG). | Validar la propuesta mediante la reputación editorial de un medio confiable. |
| 3. Síntesis Audiovisual (Deepfakes) | Manipulación con redes generativas antagónicas (probabilidad 99% en Hive). | Videos falsos del presidente Javier Milei y Marcos Galperin. | Evitar el escepticismo inicial utilizando el principio de autoridad política/financiera. |
| 4. Exfiltración de Datos (Lead Generation) | Formularios web con validación básica de script en servidor del atacante. | Captura forzosa de Nombre, Apellido y Número Telefónico. | Pasar del canal web al vector de ingeniería social telefónica directa. |
| 5. Centro de Contacto Fraudulento (Vishing) | Monitoreo en tiempo real; llamadas entrantes en minutos desde VoIP. | Operadores que fingen ser asesores sénior de VT Markets. | Generar empatía, disipar dudas técnicas e instruir en transferencias. |
| 6. Plataforma Clonada y Bucle Financiero | Aplicación web alojada en dominios no oficiales (VTMarketLTD). | Paneles de control falsos con saldo creciente simulado (dashboard spoofing). | Coaccionar depósitos adicionales sucesivos impidiendo el retiro de capital. |
La física del vector de ataque: De la inferencia publicitaria al secuestro de fondos
El ataque documentado por ESET no opera de manera lineal, sino como un embudo de conversión delictiva (criminal sales funnel):
[Gmail Ad / IA sintética] ➔ [Clon Periodístico] ➔ [Lead: Teléfono] ➔ [Vishing / Asesor falso] ➔ [Plataforma VTMarketLTD] ➔ [Bloqueo de Fondos]
- La Evasión de Filtros en la Red Publicitaria: Entre mayo y septiembre de 2026, los atacantes desplegaron al menos nueve variaciones de anuncios dirigidos. Paradójicamente, las plataformas publicitarias catalogaron los anuncios dentro de sus repositorios de transparencia como contenido “generado o editado con IA”, pero permitieron su indexación activa. El uso de microsegmentación publicitaria permite a los delincuentes mostrar cebos de bajo costo (inversiones iniciales desde 150,000 ARS) orientados a segmentos demográficos con baja alfabetización digital.
- Generación de Contenido Sintético Multimodal: La validación forense mediante herramientas como Hive Detection confirmó que los videos que muestran a mandatarios y líderes del sector tecnológico prometiendo retornos mensuales de millones de unidades monetarias presentan un 99% de marcadores de sintetización por computadora. La sincronización de labios (lip-sync) y la clonación neuronal de timbre de voz suplantan de forma convincente comparecencias públicas reales.
- El Vishing Como Punto de Inflexión Crítico: La transición de la web a la llamada de voz es el núcleo de la estafa. Al recibir el número telefónico, un centro de operadores (call center) clandestino contacta al usuario a los pocos minutos. El operador adopta el rol de asesor financiero personalizado de una firma legítima (VT Markets), enviando por correo electrónico credenciales de acceso a un entorno web alternativo (VTMarketLTD). Este sitio replica la interfaz visual del bróker real, pero reside en servidores controlados por los atacantes.
- La Trampa Psicológica del Retiro Falso: La plataforma web muestra gráficos manipulados donde el balance de la víctima se incrementa artificialmente tras el primer depósito. Cuando el usuario solicita un retiro parcial, el sistema bloquea la transacción bajo pretextos regulatorios (pago de impuestos ficticios, aranceles de desbloqueo o comisiones por transferencia internacional), induciendo a la víctima a realizar nuevos depósitos antes de cortar la comunicación de manera definitiva.
Protocolo Forense y Medidas de Mitigación ante Campañas de Vishing Financiero
El análisis técnico de ESET establece una serie de contramedidas inmediatas para usuarios y áreas de seguridad corporativa expuestas a estas redes:
- Interrupción Inmediata de Comunicaciones: Cortar de forma definitiva cualquier canal de contacto (llamadas de voz, mensajería instantánea o correo electrónico) con los supuestos analistas financieros.
- Cese de Transferencias de Rescate: Jamás realizar pagos complementarios con el propósito de “liberar” saldos retenidos. Ninguna institución bursátil o bróker regulado exige transferencias a cuentas de terceros particulares para liquidar posiciones.
- Preservación de Evidencia Digital: Exportar encabezados de correo electrónico completos (headers), números de origen telefónico, registros de transferencias bancarias, direcciones IP de conexión y capturas de pantalla de la interfaz manipulada.
- Notificación a Reguladores y Unidades de Ciberdelito: Presentar la denuncia formal ante fiscalías especializadas (como la UFECI en Argentina o los departamentos de delitos informáticos locales) y los entes reguladores de valores y telecomunicaciones.
- Aislamiento del Dispositivo y Auditoría de Integridad: Si durante la llamada el operador instruyó la instalación de software de control remoto (como AnyDesk, TeamViewer o binarios desconocidos), el equipo debe desconectarse de la red de inmediato para su desinfección mediante herramientas antimalware y rotación de todas las contraseñas fiduciarias.
“La sofisticación del cibercrimen radica en la industrialización de la confianza. Cuando los delincuentes logran encadenar deepfakes presidenciales, anuncios validados en plataformas masivas y operadores telefónicos entrenados en negociación humana, la ciberdefensa ya no depende únicamente de un antivirus, sino del entrenamiento forense del usuario para identificar discrepancias en los dominios y exigir verificación ante reguladores oficiales”, concluyen los analistas del laboratorio de amenazas.
La investigación de ESET confirma que la suplantación de identidad corporativa en el sector financiero ha alcanzado un grado de integración operativa que exige una respuesta coordinada entre proveedores de publicidad digital, empresas fiduciarias y organismos policiales internacionales.