Los investigadores de ciberseguridad han revelado los detalles de una campaña de fraude a gran escala que durante más de nueve años ha creado sitios web falsos de grandes empresas rusas para desviar fondos de empresas internacionales. Según la empresa rusa de ciberseguridad F6, los actores de amenazas han establecido sitios clonados de empresas rusas en sectores como fabricantes de fertilizantes, empresas petroquímicas, plantas metalúrgicas, operadores logísticos y bancos.
La operación ha estado en curso desde 2017. "La mayor parte del contenido de estos sitios fraudulentos fue copiado de los sitios web legítimos de las empresas. Algunos también usaban nombres de dominio similares", dijo la empresa de ciberseguridad en un informe exclusivo compartido con The Hacker News. "Estos sitios web falsos, disponibles en inglés, francés, árabe y ruso, se utilizaban para atacar a clientes internacionales y robar pagos por adelantado por bienes que no existían".
El análisis indica que el esquema de pago por adelantado falso se ha dirigido principalmente a organizaciones de los países de la Comunidad de Estados Independientes (CEI), con un enfoque específico en el sector B2B y el comercio internacional, utilizando llamadas en frío, campañas de phishing por correo electrónico y sitios web corporativos fraudulentos para iniciar contacto con clientes potenciales y distribuir documentos comerciales que contienen los datos bancarios de falsas "subsidiarias".
El esquema funciona engañando a posibles clientes para que visiten los sitios réplica, que tienen los datos de contacto alterados para dirigirlos a los atacantes. En algunos casos, los actores de amenazas contrataban a representantes de ventas desprevenidos para hacer llamadas en frío, quienes recibían instrucciones de pasar al cliente a un "gerente senior" una vez que las negociaciones llegaban a la etapa final. A partir de ese momento, las comunicaciones del cliente eran con los estafadores, quienes enviaban ofertas comerciales, contratos y facturas con datos bancarios falsos, haciendo que los pagos se canalizaran hacia los delincuentes. Una víctima, una empresa azerbaiyana, perdió unos 150.000 dólares en abril de 2025 a través de una transacción fraudulenta.
La investigación de F6 descubrió casi 100 dominios falsos que suplantaban a empresas, con vínculos identificados entre un subconjunto de la infraestructura y campañas anteriores. El dominio más antiguo relacionado con la actividad data de 2017. La gran mayoría de los dominios están asociados con las siguientes direcciones IP: 212.127.73.235 y 167.86.100.68.
"Una parte significativa de la infraestructura comparte registros DNS comunes, direcciones IP y otros datos de registro, lo que indica que estos sitios web son parte de una campaña coordinada única", dijo Elena Shamshina, líder técnica del Departamento de Inteligencia de Amenazas de F6, en un comunicado.
La empresa de ciberseguridad le dijo a The Hacker News que un esquema fraudulento similar ocurrió en 2017, cuando una empresa química rusa comenzó a recibir llamadas telefónicas de agricultores sobre retrasos en las entregas de pedidos de fertilizantes pagados por adelantado. Los agricultores afirmaban tener contratos firmados por personas que se creía eran representantes de la empresa, cuando en realidad no se habían firmado tales acuerdos.
Una investigación adicional encontró evidencia de un esfuerzo de suplantación de marca en el que los estafadores habían creado un sitio web fraudulento ("www.agrocenter-eurohem[.]ru") que era una copia virtual casi perfecta del sitio legítimo, con los únicos cambios en los datos de la cuenta bancaria y la información de contacto. "Los atacantes también habían producido propuestas comerciales muy convincentes en el membrete oficial de la empresa", dijo F6. "Aunque los documentos parecían auténticos, los datos de pago habían sido reemplazados por cuentas controladas por los estafadores. Como resultado, clientes desprevenidos transfirieron dinero por bienes que no existían".
Se evalúa que la campaña es de naturaleza internacional. Aunque las iteraciones anteriores dependían en gran medida de dominios .ru locales, los dominios recién creados utilizan extensamente dominios de nivel superior .com, .org y .net. Estos sitios web están disponibles en ruso, inglés, árabe y francés.
F6 dijo que también descubrió un conjunto de documentos comerciales fraudulentos que imitaban ofertas comerciales, contratos y facturas que contenían direcciones de correo electrónico corporativas falsas y datos bancarios fraudulentos. "El análisis de estos archivos indica que los atacantes preparan un conjunto completo de documentación comercial diseñada para respaldar la transacción falsa y aumentar la confianza de la víctima", dijo Vera Kolenikova, especialista senior del Departamento de Investigación de Ciberdelincuencia de F6. "Como resultado, las víctimas pierden dinero, mientras que las empresas legítimas cuyas marcas son abusadas sufren daños reputacionales. Para las empresas dedicadas a operaciones de importación y exportación internacional, una de las medidas de seguridad más efectivas es verificar de forma independiente la información de contacto y los datos de pago antes de transferir fondos".
Quizás el aspecto más preocupante de la campaña es el nivel de replicación involucrado. Después de que varias empresas víctimas publicaran advertencias de fraude en sus sitios web oficiales, los actores de amenazas desconocidos no perdieron tiempo en copiar esos avisos en sus contrapartes falsas y reemplazar las referencias a los dominios legítimos con dominios falsos bajo su control.
Para mitigar la amenaza, se recomienda a las organizaciones que realicen una debida diligencia sobre los socios comerciales utilizando fuentes confiables y registros comerciales gubernamentales, aseguren la legitimidad de las subsidiarias y la información de contacto, verifiquen el dominio del sitio web del proveedor y la fecha de registro, y confirmen los datos de pago antes de transferir fondos.
