Cuando un pasajero publica en redes sociales que perdió una maleta, que su vuelo se retrasó o que una devolución no aparece, lo normal es pensar que está buscando una respuesta de la aerolínea, aunque detrás de esa queja puede empezar otra conversación que la compañía ni siquiera está viendo. Check Point Software encontró que los ciberdelincuentes están vigilando precisamente esas publicaciones para hacerse pasar por equipos de atención al cliente y llevar a los usuarios desde una interacción pública hasta una solicitud de dinero o información bancaria.
El dato que cambia la lectura del problema es que los investigadores detectan actualmente cientos de cuentas nuevas utilizadas para estas suplantaciones cada día, mientras que la mayoría de los perfiles identificados fueron creados a partir de 2024. Aunque no todas las cuentas tienen necesariamente el mismo nivel de actividad, el volumen muestra que ya no se trata solamente de perfiles aislados, sino de una operación que puede renovarse con rapidez cuando las plataformas eliminan cuentas fraudulentas.
La mecánica, además, aprovecha un momento muy concreto del comportamiento del consumidor, porque una persona que tiene un problema con una aerolínea ya está esperando una solución y suele entregar información relacionada con su reserva para acelerar la atención. En uno de los casos documentados por Check Point, los delincuentes recopilaron nombre, correo electrónico, datos de la reserva, información de la reclamación y costo del viaje antes de comunicar una supuesta compensación de 500 dólares.
El siguiente paso permite entender dónde está el negocio para los estafadores, ya que después de construir esa apariencia de legitimidad trasladan la conversación a WhatsApp y pueden pedir datos de una tarjeta bancaria u otra información personal. En otro caso analizado, la supuesta compensación ascendía a 1.200 dólares y la víctima era dirigida hacia una aplicación internacional de pagos, mientras que una tercera modalidad utilizaba un formulario de Google para recopilar datos personales y de tarjetas.
Si uno lo mira desde la perspectiva de las empresas, el problema deja de ser exclusivamente de redes sociales porque la marca está siendo utilizada como mecanismo para generar confianza en una operación financiera. Ángel Salazar, Gerente de Ingeniería de Canales en América Latina de Check Point Software, explica que “los ciberdelincuentes están aprovechando esta confianza para intervenir en conversaciones públicas y hacerse pasar por equipos de atención al cliente”, de modo que la exposición de una compañía también puede aparecer en espacios que no administra directamente.
Una superficie de ataque que salió de la página web
Aunque las compañías han invertido durante años en proteger aplicaciones, bases de datos, endpoints y canales de pago, la campaña descrita por Check Point introduce un punto de presión diferente, porque el primer contacto puede producirse en una publicación pública que contiene suficiente información para identificar al cliente y su problema. La queja, que para la empresa parece una interacción de servicio, puede convertirse para el atacante en una fuente de datos para personalizar el engaño.
La posibilidad de utilizar inteligencia artificial generativa podría ampliar todavía más esa capacidad, aunque Check Point aclara que no pudo confirmar su utilización en las cuentas investigadas. En la práctica, una herramienta capaz de adaptar mensajes a cada reclamación, trabajar en distintos idiomas y mantener muchas conversaciones simultáneas reduciría el esfuerzo necesario para escalar una campaña de ingeniería social.
Por eso la respuesta empresarial empieza a moverse hacia un terreno más amplio que la ciberseguridad tradicional, ya que las compañías necesitan saber qué cuentas están utilizando su identidad, detectar rápidamente las suplantaciones y coordinar su retiro con las plataformas sociales. También resulta relevante establecer una ruta clara para que los clientes trasladen cualquier conversación relacionada con reservas, datos personales o pagos hacia canales oficiales, porque cada minuto que permanece activo un perfil fraudulento puede ampliar su capacidad de contacto.
En términos económicos, el asunto termina siendo más amplio que el valor de una compensación falsa, porque una operación de este tipo puede comprometer información personal, generar pérdidas para consumidores y obligar a las empresas a dedicar recursos a investigación, atención de incidentes, coordinación con plataformas y proveedores de pago. De ahí que el hallazgo de Check Point plantee una conclusión operativa bastante concreta: proteger una marca ya no significa solamente blindar sus propios sistemas, sino también vigilar cómo está siendo representada y utilizada fuera de ellos.
