Un simple gesto cotidiano, como mover el ratón, se ha convertido en el detonante de una nueva generación de estafas de soporte técnico que opera en la frontera entre la publicidad legítima y el fraude digital. La campaña, descubierta y analizada por Netskope Threat Labs, revela cómo los atacantes han perfeccionado sus técnicas para eludir la detección automatizada y sembrar el pánico en la pantalla del usuario, todo sin comprometer el sistema operativo ni cifrar un solo archivo. Lo que el afectado cree ver —un bloqueo total del navegador— es en realidad una puesta en escena cuidadosamente orquestada desde la memoria del programa, cuyo único propósito es conducirlo a una llamada telefónica que terminará en una estafa económica o en el robo de credenciales.
Una estafa que evoluciona: del anuncio a la falsa emergencia
Las estafas de soporte técnico no son nuevas: durante años, los ciberdelincuentes han utilizado llamadas telefónicas no solicitadas o ventanas emergentes para hacerse pasar por técnicos de Microsoft, Apple o proveedores de seguridad. Sin embargo, la campaña documentada por Netskope representa un salto cualitativo en sofisticación. Ya no se trata de un simple pop-up que aparece al visitar una página dudosa; el fraude se activa solo después de que el usuario realiza una acción concreta —mover el ratón—, una condición que bloquea a los rastreadores automáticos y a los entornos de prueba que no simulan interacción humana. Esta técnica, combinada con el uso de cifrado en dos etapas y la carga dinámica del contenido malicioso directamente en la memoria del navegador, convierte a la campaña en un ejemplo claro de cómo el fraude publicitario está adoptando tácticas propias del malware más avanzado.
El recorrido comienza en sitios web legítimos de alto tráfico: páginas de mapas, meteorología, inmobiliarias, alojamiento documental o deportes. Los atacantes adquieren inventario publicitario ordinario en estos portales sin que sus editores estén comprometidos. Un usuario que navega por uno de estos sitios ve un anuncio aparentemente normal. Al hacer clic, se encuentra con una pantalla de carga y, a continuación, con una tienda electrónica ficticia llamada “ShopEase”. Durante los primeros segundos, todo parece inofensivo. Sin embargo, el código ya está esperando.
Los números de la campaña: alcance y distribución geográfica
Netskope Threat Labs monitorizó la actividad durante dos semanas y documentó un impacto significativo. La infraestructura fraudulenta estaba compuesta por al menos 457 hosts asociados a la campaña, con más de 250 identificadores de campañas diferentes. Los anuncios maliciosos aparecieron en 284 sitios legítimos, y se detectaron 619 organizaciones afectadas en todo el mundo. La distribución geográfica muestra una clara concentración en Estados Unidos, que concentró cerca del 62 % de las organizaciones afectadas. Japón ocupó el segundo lugar con un 16 %, seguido de Australia con un 14 %. Estos datos reflejan tanto la orientación de los atacantes hacia mercados con alto poder adquisitivo como la capilaridad de la red de distribución publicitaria que utilizaron.
| País | Porcentaje de organizaciones afectadas |
|---|---|
| Estados Unidos | 62 % |
| Japón | 16 % |
| Australia | 14 % |
| Otros | 8 % |
El mecanismo técnico: descifrado en dos etapas y carga en memoria
La sofisticación de la campaña reside en su arquitectura de múltiples capas. Tras hacer clic en el anuncio y ver la tienda ficticia ShopEase, el código permanece inactivo hasta que detecta un movimiento del ratón. En ese momento, se inicia una secuencia de descifrado que utiliza AES en dos etapas para recuperar la dirección real del servidor de mando y control. Una vez establecida la conexión, el servidor responde con una segunda carga diseñada específicamente para el sistema operativo de la víctima: Windows o macOS. Si la conexión falla, la página maliciosa se queda en la tienda falsa, sin pasar a la fase de bloqueo, lo que dificulta aún más su detección por parte de los sistemas de seguridad que solo analizan el tráfico superficial.
La carga adaptada construye la interfaz fraudulenta directamente en la memoria del navegador, sin descargar archivos al disco. Esto permite que el bloqueo simulado sea indistinguible de una alerta legítima del sistema: en Windows, el usuario ve una ventana con la estética de Microsoft Defender; en macOS, aparecen mensajes con el diseño característico de Apple. No hay modificación del sistema operativo ni cifrado de archivos, pero la experiencia visual es tan convincente que la mayoría de los usuarios pierde la calma.
El bloqueo aparente: cómo se construye la ilusión de pérdida de control
Una vez que la interfaz fraudulenta se ha cargado, el navegador se comporta como si el sistema estuviera completamente secuestrado. El código activa el modo de pantalla completa, oculta la barra de direcciones, las pestañas y el cursor. También intenta bloquear las teclas de atajo más comunes, como Alt+F4, F11 o Ctrl+W, y emite alarmas sonoras y mensajes intermitentes que refuerzan la urgencia. La ralentización deliberada de la respuesta del navegador contribuye a que la víctima crea que el equipo está colapsado. Sin embargo, los controles del sistema operativo siguen funcionando; el problema es que el usuario, al no ver las referencias habituales (barra de tareas, escritorio, cursor), interpreta erróneamente que ha perdido el control.
Los mensajes que aparecen en pantalla son contundentes: advierten sobre una infección crítica, instan a no reiniciar el equipo porque «podría dañarse el sistema» y, sobre todo, exigen llamar de inmediato a un número de teléfono que aparece en la ventana. Netskope subraya que ninguna alerta legítima del sistema operativo o del navegador pide al usuario que realice una llamada telefónica. Ese es el indicador más claro de que se trata de una estafa.
El objetivo final: la llamada y la extracción de datos o dinero
Cuando la víctima, presa del pánico, marca el número, el atacante se hace pasar por un técnico de soporte. A partir de ahí, las opciones son varias: puede solicitar el pago de una «asistencia técnica» para reparar un problema inexistente, pedir las credenciales bancarias o de acceso a servicios, o indicar a la víctima que instale una herramienta de acceso remoto que le dé control total sobre el equipo. En este punto, el fraude deja de ser una simulación para convertirse en una amenaza real. Netskope recomienda que, si el usuario ya ha llamado o entregado información, lo comunique inmediatamente a su equipo de seguridad corporativo o a las autoridades competentes.
¿Qué hacer si aparece esta alerta? Guía práctica para el usuario
Ante una pantalla que simula un bloqueo, la primera regla es no dejarse llevar por el miedo. No se debe llamar al número que aparece, ni introducir datos personales, ni instalar ningún programa. El sistema sigue funcionando, aunque la interfaz del navegador esté alterada. Para salir de la trampa, el usuario puede mantener pulsada la tecla Escape durante varios segundos, lo que a menudo fuerza la salida del modo de pantalla completa. Si eso no funciona, debe abrir el Administrador de tareas de Windows (Ctrl+Alt+Supr o Ctrl+Shift+Esc) y finalizar el proceso del navegador. En macOS, la opción Forzar salida (Command+Option+Esc) permite cerrar la aplicación. Al reiniciar el navegador, es importante no restaurar la sesión anterior, ya que eso podría volver a cargar la página maliciosa.
Para las empresas, Netskope aconseja una estrategia multicapa que combine protección del endpoint, filtrado DNS, inspección o aislamiento de la navegación, control del tráfico web y formación continua de los usuarios. Dado que la campaña se distribuye a través de anuncios en sitios legítimos, los bloqueos por listas negras de dominios no son suficientes; la detección debe basarse en la cadena de comportamiento: interacción del usuario seguida de nuevas conexiones, descifrado mediante JavaScript, carga dinámica de la interfaz, identificación del sistema operativo, entrada en pantalla completa y uso anómalo del bloqueo de teclado. Esta firma de comportamiento es más estable que las direcciones IP o los números de teléfono, que los atacantes cambian con frecuencia.
Señales de alerta: cómo reconocer la estafa antes de caer
La campaña de Netskope no es un caso aislado, sino la muestra de una tendencia creciente. Las estafas de soporte técnico están incorporando técnicas que antes eran propias del malware más complejo: evasión de entornos automatizados, descifrado en tiempo de ejecución, personalización del contenido según el sistema operativo y uso de infraestructura publicitaria legítima como vector de distribución. Identificar la secuencia completa —del anuncio a la tienda ficticia, de allí a la alerta y de esta a la llamada— es la clave para frenar el fraude antes de que cause un perjuicio económico o de seguridad.
Entre las señales que deben alertar al usuario están: la presencia de una tienda online que aparece tras hacer clic en un anuncio en un sitio de mapas o meteorología; la necesidad de mover el ratón para que ocurra algo; la aparición repentina de una alerta de seguridad con un número de teléfono; y la imposibilidad de cerrar la ventana con los métodos habituales. Cualquiera de estos indicadores, por separado, puede ser una coincidencia; combinados, son la huella inequívoca de una estafa.
La evolución de estas campañas demuestra que los ciberdelincuentes están dispuestos a invertir en técnicas de ocultación y evasión para llegar a sus víctimas a través de los canales publicitarios más confiables. Para el usuario medio, la mejor defensa sigue siendo la concienciación: saber que un navegador no se bloquea por una infección repentina, que las alertas legítimas nunca piden una llamada telefónica y que la calma es el primer antídoto contra el miedo que estos fraudes intentan explotar. En un ecosistema digital donde un simple movimiento del ratón puede desencadenar una estafa, la información y la formación son las herramientas más eficaces para no convertirse en la próxima víctima.
