Acerca del artículo. El estudio lo ha llevado a cabo PWN-ALL, una empresa privada dedicada a la seguridad de la información. El artículo se basa en el análisis propio de la empresa y no constituye un comunicado oficial de las fuerzas del orden. Los dominios, las direcciones IP, los datos bancarios, las credenciales de acceso, los tokens y la información personal se han ocultado para proteger a las víctimas, conservar los materiales para su verificación por parte de las autoridades competentes y evitar el acceso de terceros a datos sensibles.

Llamada desde el número +882

La llamada entrante procedía de un número que comenzaba por +882.

No se trata del prefijo telefónico de un país concreto. Según la clasificación de la Unión Internacional de Telecomunicaciones, el código +882 se utiliza para redes internacionales. El prefijo en sí mismo no es indicativo de estafa y no permite determinar la ubicación física de la persona que llama.

La persona con la que hablé se presentó como empleado de una gran empresa de inversiones y me ofreció una rentabilidad de entre el 20 % y el 40 % anual.

La conversación comenzó más o menos así:

«Buenos días, ¿Alina? Me llamo Avram, represento a un fondo de inversión del Reino Unido…»

A continuación se desarrolló el típico guion de una estafa de inversiones. Supuestamente, los bancos pagan deliberadamente bajos tipos de interés a los clientes, obstaculizan las transferencias a fondos de inversión y no permiten que las personas dispongan por sí mismas de su dinero.

Este tipo de operaciones suelen clasificarse como estafas de tipo «pig butchering», o «despiece del cerdo». El operador no exige una gran suma de inmediato. Primero establece una relación de confianza, analiza la situación financiera y emocional de la persona, consigue una primera transferencia de pequeña cuantía y solo entonces empieza a aumentar sus exigencias.

Decidimos continuar la conversación para determinar qué infraestructura técnica estaba relacionada con esa llamada.

Cómo buscaba el operador un punto vulnerable

Para la conversación se utilizó un perfil preparado de antemano:

  • una mujer de 38 años;
  • divorciada y con un hijo a su cargo;
  • sin ingresos fijos;
  • propietaria de un piso.

Durante los primeros 50 minutos, el operador apenas habló de instrumentos de inversión concretos. En su lugar, le preguntó por su familia, sus ingresos, sus planes y sus dificultades económicas.

Las respuestas obtenidas se utilizaron de inmediato en la conversación. La propuesta se fue transformando poco a poco de una posibilidad abstracta de ganar dinero a una supuesta solución personalizada: garantizar el futuro del hijo, generar unos ingresos fijos y lograr la independencia de los bancos.

En primer lugar, el operador restaba valor a los instrumentos financieros tradicionales. A continuación, creaba la sensación de una oportunidad única, identificaba un tema emocionalmente delicado y vinculaba su solución al primer depósito.

Para el perfil seleccionado, los principales puntos de presión eran los ingresos inestables y el futuro del hijo.

Un fondo británico que no figura en los registros

Con el pretexto de querer estudiar la oferta con más detalle, pedimos que nos enviaran la documentación.

Al cabo de un rato, recibimos un folleto desde un número británico de WhatsApp en nombre de Delegmed Investment Fund Limited. Prácticamente al mismo tiempo, el operador volvió a llamar y continuó la conversación, intentando no dejarnos tiempo para comprobar la información por nuestra cuenta.

El folleto contenía las cifras de rentabilidad anunciadas y una descripción de los productos de inversión. Las ilustraciones presentaban rasgos visuales propios del contenido generativo, y la comprobación de las imágenes rasterizadas adjuntas lo confirmó a nivel de metadatos: en los archivos PNG aparecía un manifiesto C2PA con una marca que indicaba que se habían generado en ChatGPT el 14 de julio de 2026. C2PA es un estándar abierto de origen del contenido digital: la herramienta añade el manifiesto al crear el archivo y registra cómo y cuándo se obtuvo la imagen. Los metadatos pueden eliminarse o falsificarse, por lo que por sí solos no prueban nada, pero en este caso coincidían con los indicios visuales.

La empresa se presentaba como un fondo de inversión británico, por lo que comprobamos el nombre exacto en dos fuentes públicas:

  • el registro mercantil Companies House;
  • el Registro de Servicios Financieros de la Autoridad de Regulación y Supervisión Financiera del Reino Unido (FCA).

A fecha de 2 de agosto de 2026, no encontramos ninguna coincidencia exacta con el nombre Delegmed Investment Fund Limited ni en Companies House —incluida la información sobre empresas activas y liquidadas— ni en el Registro de Servicios Financieros de la FCA.

Companies House ofrece información pública sobre las empresas registradas en el Reino Unido, incluyendo su estado, dirección, directivos e historial documental.

La FCA señala que casi cualquier actividad de prestación de servicios financieros regulados en el Reino Unido requiere autorización o registro, y que las empresas correspondientes deben verificarse a través del Registro de Servicios Financieros.

La ausencia de un nombre en los registros no prueba por sí sola la existencia de una estafa. Sin embargo, contradecía directamente la afirmación del operador de que representaba a un fondo de inversión británico.

Hemos analizado otros dos escenarios.

El primero es el denominado «clone firm»: una estafa en la que se utiliza el nombre, el número de registro o la dirección de una empresa realmente autorizada, y solo se modifican los datos de contacto. Cotejamos los datos de la folleto con los registros de las empresas autorizadas en el Financial Services Register: no se encontraron coincidencias. Y el segundo fue la FCA Warning List, una lista pública de empresas sobre cuya actividad sin autorización el regulador advierte a los consumidores. A fecha de 2 de agosto de 2026, el nombre Delegmed Investment Fund Limited no figuraban en ella.

Un área de usuario creada de antemano

Tras preguntarle dónde se realizarían exactamente las inversiones, el operador envió un enlace a una página web en el dominio .com.

El dominio se registró el 27 de junio de 2026, menos de un mes antes del análisis.

El nombre de usuario y la contraseña se habían creado previamente. Tras iniciar sesión, en el perfil ya aparecían el nombre, el número de teléfono y la dirección de correo electrónico.

Los operadores conocían estos datos antes de que comenzara la conversación de fondo. No se ha podido determinar el origen de estos datos. Podrían proceder de una filtración, de una base de datos recopilada anteriormente, de una fuente comercial o de otra campaña.

A simple vista, el sitio web imitaba una plataforma de inversión: mostraba el saldo, el historial de operaciones, los indicadores de rentabilidad y un formulario para recargar la cuenta.

La mayor parte de las páginas eran estáticas. El área de usuario funcionaba de forma diferente: recopilaba las características del navegador y del dispositivo, mantenía una conexión WebSocket y obtenía dinámicamente valores concretos de otro servidor.

Al pulsar el botón de recarga, JavaScript enviaba al servidor los datos de la cuenta y la huella digital del usuario. A cambio, se esperaba recibir una cadena con los datos bancarios y el saldo actual, por ejemplo:

GB...IBAN...|0.00$

El servidor podía proporcionar datos bancarios diferentes para cada usuario. Esto permitía a los operadores cambiar la cuenta directamente durante la conversación, sin actualizar la página web principal.

Tras iniciar sesión, el panel de control también accedía a la ruta /me. En el momento del análisis, devolvía 404; sin embargo, el código del cliente indicaba que la respuesta podía utilizarse para cargar los parámetros de una cuenta concreta y guardar los valores en el almacenamiento local del navegador.

Servidor de Dynamic DNS

El dominio principal era casi totalmente estático, pero las funciones dinámicas del panel de control se conectaban a un servidor independiente de DNS dinámico.

Un análisis inicial reveló varios servicios de red disponibles. Algunos de ellos parecían ser de relleno o simples trampas, pero en dos puertos no estándar funcionaban aplicaciones web independientes con sus propias páginas de índice y gestores de errores.

En esta fase, la finalidad de las aplicaciones seguía sin estar clara.

El punto de inflexión se produjo al día siguiente, cuando el operador preguntó si se había realizado la transferencia. Le hicimos entender que estábamos considerando enviar el dinero, tras lo cual nuestro interlocutor nos pidió que subiéramos un comprobante bancario en formato PDF.

Para ello, nos envió una URL directa del tipo:

site.com/my/statements/upload-form

No había ningún enlace a ella ni en el menú ni en el área de usuario.

El formulario no enviaba el documento al sitio web principal, sino a uno de los servicios de DNS dinámico. Al comprobar el procesamiento de un archivo PDF de prueba de gran tamaño, la aplicación devolvió un error detallado de PHP.

En el servidor estaba activado el modo de depuración de Yii Framework. En lugar del mensaje habitual, el usuario recibió un seguimiento con información interna:

  • las versiones de Nginx y Yii;
  • la estructura de los directorios;
  • el nombre del usuario local;
  • las rutas del servidor;
  • la plantilla de ruta para los documentos descargados;
  • parte de los parámetros de entorno.

Los documentos se guardaban en directorios organizados por año, mes y día. El nombre de una de las rutas contenía la estructura debildocument.

En el código también se utilizaba la notación balans en /home/pavlo/depositka-2/modul/resp.php:81

debildocument parece una combinación de un insulto coloquial ruso y una palabra inglesa document y constituye un indicio lingüístico más evidente que el simple balans. Sin embargo, ninguno de estos nombres demuestra la nacionalidad del desarrollador ni la ubicación del equipo. El código podría haber sido escrito por un miembro de un equipo multinacional, copiado de otro proyecto o contener deliberadamente un rastro lingüístico ajeno.

Cómo se encontró el panel de administración

La respuesta de depuración reveló unas variables de entorno, entre las que se encontraban:

  • ADMIN_URL;
  • ADMN_PASS.

La primera indicaba la dirección de la interfaz de administración. La segunda contenía el valor de acceso asociado a ella. No describimos la secuencia de la investigación posterior ni publicamos los datos de acceso, ya que esto podría suponer riesgos adicionales para las víctimas.

Las credenciales fueron reveladas por el propio servidor en la respuesta de depuración obtenida durante el uso normal del formulario que envió el operador. Nos limitamos a registrar la estructura del panel y la naturaleza de los datos almacenados en la medida necesaria para determinar la naturaleza de la campaña y preparar las notificaciones a los propietarios de la infraestructura: no realizamos modificaciones, no descargamos la base de datos ni utilizamos el acceso tras recopilar la información necesaria para el informe destinado al proveedor de alojamiento y a las autoridades competentes.

El panel era de desarrollo propio y se encontraba en una aplicación web independiente dentro de la misma infraestructura. No se trataba de una sola tabla ni de una página olvidada por casualidad: existían secciones independientes para los distintos tipos de información.

En el panel se mostraban por separado:

  • fichas de víctimas potenciales;
  • los pagos y los documentos bancarios;
  • comentarios internos de los operadores;
  • el estado de tramitación de los contactos;
  • instrucciones y guiones de conversación;
  • datos de bots de Telegram y API externas;
  • registros técnicos;
  • plantillas de sitios web de inversión.

La ficha de una persona podía incluir el nombre, los datos de contacto, el estado civil, una valoración de su capacidad financiera, las cantidades ya ingresadas, las objeciones y las recomendaciones para la siguiente conversación.

Los comentarios internos revelaban que en el panel operaban distintos usuarios —operadores que registraban no solo los pagos, sino también las características psicológicas de la persona: a quién quiere ayudar, qué le preocupa, por qué tiene dudas y qué argumento había resultado eficaz anteriormente.

Consideramos que publicar capturas de pantalla del panel de administración no era ético: las imágenes revelarían datos personales, circunstancias económicas y documentos de las personas que figuraban en la base de datos.

Telegram y las plantillas de campaña

La configuración del panel revelaba datos de la API de Telegram Bot y otras integraciones externas utilizadas para notificaciones internas.

Dentro de la infraestructura, descubrimos un servicio independiente de DNS dinámico que se utilizaba para la descarga centralizada de plantillas, incluidos los componentes a partir de los cuales se creaban nuevas variantes de sitios web de inversión.

La combinación del panel de administración, las fichas centralizadas, las integraciones externas y las plantillas indica que no se trataba de un único operador con un solo sitio web. La infraestructura estaba diseñada para relanzar campañas y cambiar el diseño externo sin necesidad de reestructurar la parte del servidor.

«Generar un error» y conectarse al ordenador

En los documentos internos se mencionaban RustDesk, TeamViewer y otros programas legales de asistencia remota.

Las instrucciones proponían utilizarlas una vez establecida la confianza. El operador debía provocar un error en el área de usuario, presentarlo como un problema por parte del usuario y ofrecer conectarse para «configurar» o «desbloquear la operación».

La lógica del cliente WebSocket se ajustaba a este escenario:

  • ERROR|ERROR mostraba un error ficticio;
  • ERROR2|https://... redirigía al usuario a una dirección predeterminada.

Una de las opciones de redireccionamiento conducía a la instalación de una herramienta relacionada con hVNC. Según las notas internas, este escenario estaba destinado a objetivos especialmente acaudalados, con activos estimados a partir de 100 000 dólares.

Por separado se almacenaban los RAT para Android y los «scripts», es decir, instrucciones que explicaban al operador con qué pretexto convencer a la persona para que instalara la aplicación y concediera los permisos necesarios.

Cómo reconocer un esquema de este tipo

La campaña investigada presentaba varios indicios característicos:

  • una llamada inesperada con una propuesta de inversión;
  • la promesa de una rentabilidad del 20-40 % anual;
  • presión y críticas hacia los bancos;
  • intento de trasladar rápidamente la conversación a una aplicación de mensajería;
  • un dominio registrado recientemente;
  • una cuenta creada previamente con datos personales;
  • transferencia de fondos a particulares o a empresas no relacionadas;
  • solicitud de que se suba un comprobante bancario;
  • exigir la instalación de RustDesk, TeamViewer u otra herramienta de acceso remoto;
  • un «error técnico» repentino precisamente durante la conversación;
  • impuestos, comisiones y pagos adicionales para retirar fondos.

Un solo indicio no siempre demuestra que se trate de una estafa. La combinación de varios de ellos es motivo suficiente para interrumpir la comunicación y realizar una verificación independiente a través de los registros oficiales y los contactos del regulador financiero.

Qué hacer tras una transferencia o una conexión remota

Es necesario ponerse en contacto inmediatamente con el banco, informar de la operación fraudulenta y solicitar la suspensión o la anulación de la transferencia, si aún es posible.

Se debe conservar la correspondencia, los números de teléfono, los documentos, las direcciones de los sitios web y los datos de pago. No se deben transferir fondos adicionales con el pretexto de impuestos, comisiones, seguros o desbloqueo de la cuenta.

Si el operador se ha conectado al dispositivo, hay que eliminar el programa de acceso remoto y cerrar las sesiones activas. Si se sospecha que se ha instalado otro software, hay que desconectar el dispositivo de la red y entregarlo a especialistas para que lo revisen. Las contraseñas deben cambiarse desde otro dispositivo que se sepa que es seguro.

Existe un riesgo adicional: el fraude secundario. Tras la pérdida de dinero, la persona puede recibir llamadas de supuestos abogados, representantes del organismo regulador o especialistas en recuperación de activos. A cambio de la promesa de devolver el dinero, exigirán un pago por adelantado. A menudo se trata de una continuación de la misma estafa o del uso de datos procedentes de una base de datos ya comprometida.

Notificación a los proveedores

Hemos enviado notificaciones de abuso a los propietarios de la infraestructura implicada

  • al proveedor de alojamiento del sitio web estático;
  • al operador del servicio DDNS que gestionaba la parte dinámica del sistema;
  • al proveedor de infraestructura en cuya red se encontraba el servidor con el panel de administración.

Cada notificación incluía indicadores, una descripción de la actividad y una indicación de la presencia de datos personales de terceros. El 4 de agosto, la información sobre la campaña también se remitió a la FCA a través del formulario de notificación de actividades sin licencia y a las fuerzas del orden. A fecha de publicación: no se han recibido respuestas; el dominio está activo; el servidor de Dynamic DNS sigue respondiendo; el operador ha desactivado el área de usuario.

No nos hemos puesto en contacto con las personas cuyas tarjetas figuraban en la base de datos. No tenemos fundamentos legales para tratar estos datos e iniciar contacto, y una llamada o un correo de una empresa desconocida tras una campaña fraudulenta reproduce el escenario de fraude secundario mencionado anteriormente. Las direcciones de los servidores, los dominios y otros identificadores no se revelan en el momento de la publicación: parte de la infraestructura podría seguir activa, y una publicación prematura dificultaría la verificación.

En lugar de una conclusión

Esta historia comenzó con una llamada y la promesa de una alta rentabilidad.

Detrás de la voz del «asesor de inversiones» se escondía un sistema que combinaba un sitio web falso, tarjetas centralizadas, documentos de pago, guiones internos, bots de Telegram, plantillas e herramientas de acceso remoto.

Pero el principal descubrimiento no radicaba en el número de servidores ni en las líneas de código.

El panel de control falso no se limitaba a mostrar un saldo ficticio. Era capaz de reaccionar a las órdenes del operador, generar un error en el momento oportuno y convertir una simple conversación telefónica en un guion técnico controlado.

No vendían inversiones. Vendían esperanza, convirtiendo el miedo por la familia, el deseo de salir de las deudas o de ayudar a los hijos y nietos en un mecanismo de presión.

Por eso, mantén la alerta y comprueba siempre la información que recibas, sobre todo cuando se trate de dinero. No te fíes de una alta rentabilidad, de una página web atractiva o de un «asesor de inversiones» convincente solo porque todo parezca profesional. Comprueba la antigüedad del dominio, la entidad jurídica, la licencia de la entidad financiera y los datos sobre ella en los registros oficiales.