La fiebre por el Mundial de la FIFA 2026 se intensifica a medida que se acerca la fecha, y con ella, la desesperación de miles de aficionados que aún buscan boletos, mercancía oficial o paquetes de hospitalidad. Esta ventana de oportunidad no pasa desapercibida para los ciberdelincuentes, que ya han desplegado una red de sitios web fraudulentos diseñados para suplantar a la FIFA y robar tanto el dinero como los datos personales de las víctimas. Investigadores de ESET en América Latina han identificado múltiples dominios que copian de forma casi idéntica la apariencia y el flujo de navegación del portal oficial del Mundial, creando una trampa sofisticada que explota la urgencia y la ilusión de los seguidores del fútbol.
El engranaje de las estafas: cómo operan los sitios que suplantan a la FIFA
La mecánica de estas estafas es meticulosa. Los atacantes no se limitan a crear una página de aspecto similar; replican el proceso completo de compra que un usuario esperaría encontrar en el sitio oficial: registro, selección de partidos o productos, llenado del carrito de compras y, finalmente, el pago. El objetivo es mantener a la víctima dentro de una rutina familiar y de confianza hasta el último momento. El primer caso documentado por ESET es el del dominio fifa26[.]shop, que emplea una técnica conocida como typosquatting (o ciberocupación). El nombre del dominio se asemeja lo suficiente al oficial para que un visitante apresurado o distraído no note la diferencia. El sitio no solo imita el nombre, sino que copia la paleta de colores, el diseño de la navegación y el flujo de venta de entradas de la FIFA.
Una vez dentro, el sitio falso solicita al usuario que se registre para poder «comprar» boletos o mercancía. Este paso es clave: el formulario pide datos personales como nombre completo, dirección de correo electrónico y número de teléfono. Para un aficionado que cree estar en el sitio oficial, este proceso no resulta sospechoso, ya que la FIFA también exige la creación de una identificación (FIFA ID) para adquirir entradas. Sin embargo, en el sitio fraudulento, estos datos son recolectados directamente por los criminales. Tras el registro, el usuario puede seleccionar artículos como camisetas de selecciones o entradas para partidos específicos, desde la fase de grupos hasta la final. La página de pago final es donde ocurre el verdadero daño. Al introducir los datos de la tarjeta de crédito, estos son enviados directamente a los estafadores, sin que exista producto o servicio real alguno. La pérdida inmediata es económica, pero el robo de datos de identidad, direcciones de correo y contraseñas puede desencadenar ataques mucho más graves, especialmente si la víctima reutiliza sus contraseñas en otros servicios como el correo electrónico o las redes sociales.
Cuatro sitios más con el mismo patrón delictivo
La amenaza no se limita a un único dominio. ESET identificó al menos otros cuatro portales que siguen el mismo modus operandi. Un ejemplo es el sitio alojado en 26-fifa[.]com, que también utiliza un dominio temático del Mundial y replica la estética visual de la FIFA. Todos estos sitios comparten características comunes: el uso de dominios de nivel superior (TLD) como .shop o .store, que pueden hacer que el sitio parezca una tienda oficial o una filial de venta minorista. El diseño es pulido y profesional, lo que dificulta aún más la detección por parte de un usuario no experto. Las pestañas de menú, los iconos y los botones de llamada a la acción se copian directamente del sitio genuino, creando una ilusión de legitimidad que solo se rompe al examinar cuidadosamente la dirección URL en la barra del navegador.
¿Cómo llegan las víctimas a estos sitios?
El primer contacto con estas páginas puede ocurrir de varias maneras. Una de las más comunes es a través de resultados patrocinados en buscadores como Google. Los estafadores pagan para que sus enlaces aparezcan entre los primeros resultados cuando un usuario busca términos como «boletos mundial 2026» o «camisetas selección mundial». Otra vía de entrada son los anuncios en redes sociales, que pueden promocionar ofertas «imperdibles» o «últimas unidades». También es frecuente que estos enlaces se difundan a través de cadenas de correo electrónico o mensajes de WhatsApp, donde alguien que no verificó la dirección lo reenvía a sus contactos, creando una falsa sensación de confianza.
Marcadores clave para identificar una estafa de suplantación de FIFA
Ante esta amenaza, es crucial que los aficionados conozcan las señales de alerta y sigan pautas de seguridad estrictas. La FIFA ha declarado que las únicas vías oficiales para la compra de boletos son a través de fifa.com/tickets y fifa.com/hospitality, además de paquetes específicos de viaje con aerolíneas asociadas. Cualquier otra oferta debe ser tratada con la máxima desconfianza. A continuación, se presentan las tácticas esenciales para mantenerse a salvo:
¿Cómo puedo estar seguro de que estoy en el sitio web oficial de la FIFA? La única manera segura de acceder es escribir la dirección directamente en la barra del navegador. No se debe hacer clic en enlaces de anuncios, publicaciones en redes sociales ni en correos electrónicos de fuentes no verificadas. Si se llega a un sitio a través de un buscador, se debe inspeccionar la URL en la barra de direcciones antes de introducir cualquier dato. La presencia de caracteres extraños, palabras adicionales (como «shop», «store», o «26») o una terminación de dominio inusual (.shop, .store, .xyz) son indicios casi seguros de un sitio falso.
Además de verificar la URL, es importante prestar atención a las tácticas de presión psicológica. Ofertas que anuncian «boletos limitados», «acceso VIP», «descuentos exclusivos» o «última oportunidad» están diseñadas para que el usuario actúe sin pensar y omita las comprobaciones de seguridad. Un flujo de trabajo de compra que funcione correctamente (un carrito que suma productos, una pasarela de pago que parece real) no es una garantía de legitimidad. Los estafadores se esfuerzan por hacer que toda la experiencia se sienta auténtica hasta el último clic.
Otra recomendación fundamental es no reutilizar contraseñas. Si un sitio falso captura la contraseña que un usuario emplea en su correo electrónico o en su banco, el atacante puede intentar acceder a esas cuentas. Es vital usar contraseñas fuertes y únicas para cada servicio, y activar la autenticación de dos factores (2FA) en todas las plataformas que lo permitan. Finalmente, contar con un software de seguridad actualizado en todos los dispositivos (ordenadores, tabletas y teléfonos) puede ayudar a bloquear el acceso a sitios de phishing conocidos.
Implicaciones estratégicas: el auge del phishing emocional en grandes eventos
Este patrón de ataques no es exclusivo del Mundial de Fútbol. Cada vez que se celebra un gran evento global —desde los Juegos Olímpicos hasta un concierto masivo— los ciberdelincuentes adaptan sus tácticas para explotar la alta demanda y la presión temporal. Lo que hace única a esta campaña es la sofisticación en la réplica del flujo de usuario oficial, lo que demuestra un conocimiento profundo del proceso de compra de la FIFA. No se trata de páginas genéricas con errores de diseño, sino de portales que han sido construidos para engañar incluso a usuarios con cierta experiencia digital. La explotación de la ilusión y del «miedo a perderse algo» (FOMO, por sus siglas en inglés) convierte a los aficionados en víctimas potenciales, no por falta de inteligencia, sino por la poderosa influencia de las emociones en la toma de decisiones.
La escalada de este tipo de fraudes subraya la necesidad de que las organizaciones oficiales, como la FIFA, refuercen sus campañas de concienciación y eduquen a los consumidores sobre los canales legítimos mucho antes de que comience la venta de entradas. Para el usuario final, la lección es clara: en el contexto de un evento de alta demanda, la verificación de la fuente debe ser el primer paso, no un paso opcional. La emoción del momento nunca debe anular la prudencia digital. La seguridad de los datos y el dinero depende de esta simple, pero crítica, disciplina.
