ESET detecta campañas de phishing en Latinoamérica que explotan sitios web de pymes para suplantar a Spotify

Buenos Aires, Argentina, 2 de febrero de 2026.— En el ecosistema del cibercrimen convergen múltiples amenazas, pero algunas destacan por su eficacia y baja tasa de detección. Una de ellas combina la explotación de vulnerabilidades en sitios web con la usurpación de marcas reconocidas para ejecutar campañas de phishing, técnica de engaño orientada a obtener credenciales de acceso y datos financieros de los usuarios.

En este contexto, ESET alertó sobre la detección de casos en Latinoamérica donde ciberdelincuentes aprovecharon dominios legítimos de empresas de la región para alojar páginas falsas de Spotify. El objetivo: aumentar la credibilidad del fraude y elevar la probabilidad de que las víctimas ingresen información sensible.

Cómo operan las páginas falsas alojadas en dominios legítimos

Según ESET, en los últimos días se identificaron dos incidentes en los que actores maliciosos suplantaron la identidad visual de Spotify y la alojaron dentro de sitios comprometidos de pymes. Al combinar una marca ampliamente confiable con un dominio válido, los atacantes generan una falsa sensación de seguridad que dificulta la detección del engaño.

Para las pymes, esta estafa revela un problema estructural ya que la falta de mantenimiento y de medidas básicas de seguridad en sus sitios web las expone a incidentes propios y las convierte en plataformas involuntarias de fraude a gran escala”, comenta Martina Lopez, Investigadora de Seguridad Informática de ESET Latinoamérica.

El paso a paso del engaño, según ESET

El equipo de investigación detalla el flujo típico de estas campañas:

1. Explotación de vulnerabilidades (CMS desactualizados, plugins inseguros o credenciales débiles) para subir archivos maliciosos a un sitio real.

2. Alojamiento de una copia falsa del servicio suplantado, visualmente idéntica al original.

3. Distribución del enlace mediante correos de phishing, anuncios maliciosos, redes sociales o mensajes directos.

4. Captura de datos: las credenciales y/o información financiera ingresadas se envían directamente al ciberatacante.

La efectividad de la estafa se basa en que el dominio comprometido es legítimo, la marca suplantada es conocida y los señuelos suelen ser situaciones comunes, como renovación de cuenta o problemas de pago”, advierte Lopez.

Casos detectados en la región

Centro odontológico en Chile

Un sitio web de un centro odontológico de la Quinta Región fue comprometido para alojar páginas falsas de Spotify. Las víctimas eran inducidas a ingresar credenciales y, en un segundo paso, datos bancarios bajo el pretexto de actualizar el método de pago. La información terminaba en servidores controlados por los atacantes.

Empresa de neumáticos en Argentina

En este caso, el sitio comprometido simulaba el acceso a Spotify con el fin de obtener credenciales de usuario, aprovechando la confianza generada por un dominio empresarial legítimo.

Estas campañas generan un escenario de doble víctima: el usuario engañado y la pyme cuya web fue comprometida”, destaca la investigadora de ESET.

Consecuencias para los usuarios

• Robo y reutilización de credenciales, especialmente cuando se repiten contraseñas en distintos servicios.

• Fraude financiero, con compras o suscripciones no autorizadas.

• Pérdida de control de cuentas, usadas luego para spam o estafas a terceros.

• Filtración de datos personales, que habilita ataques dirigidos posteriores.

Impacto para las pymes afectadas

• Daño reputacional, al asociarse el dominio con fraudes.

• Bloqueos por navegadores y buscadores, afectando SEO y tráfico legítimo.

• Costos de remediación, desde limpieza del sitio hasta auditorías y refuerzos de seguridad.

• Riesgos legales y regulatorios por exposición de datos.

• Reincidencia, si no se corrige la vulnerabilidad inicial.

Recomendaciones para reducir el riesgo

ESET sugiere verificar siempre el dominio completo antes de ingresar datos sensibles y desconfiar de enlaces inesperados. Además, recomienda el uso de gestores de contraseñas, doble factor de autenticación y, para las pymes, mantener CMS, plugins y servidores actualizados, junto con auditorías periódicas y soluciones de seguridad web.

La prevención requiere un enfoque compartido: hábitos de verificación por parte de los usuarios y asumir que la seguridad del sitio web es crítica para la reputación y la confianza digital de las pymes”, concluye Martina Lopez.

Tu Opinión Importa 🗣️

¿Revisas el dominio completo antes de ingresar tus credenciales en servicios online?
Comparte tu experiencia y buenas prácticas de seguridad digital con los hashtags #itusers28aniversario y #superfan.