El fraude en la Copa Mundial de la FIFA: qué significa para su empresa

El fraude relacionado con el Mundial no empezó con el saque inicial –ya estaba en marcha mucho antes del primer partido.

La Copa Mundial de la FIFA 2026 se disputará en 16 ciudades de Estados Unidos, Canadá y México, y en las últimas semanas los investigadores de seguridad, el FBI y varias empresas de ciberseguridad han publicado alertas que describen una actividad delictiva ya en marcha, con amplios recursos y en rápida expansión.

No se trata de un puñado de páginas de phishing oportunistas. Es un ecosistema estructurado de dominios falsos, operaciones de robo de credenciales y campañas de suplantación de identidad por correo electrónico –concentrado en torno a una única ventana de alto valor: el propio torneo.

Para las empresas, el riesgo no se limita a que los aficionados sean víctimas de estafas con las entradas. Esa misma infraestructura también se está utilizando para cometer fraude relacionado con el Mundial: los atacantes están recopilando credenciales, suplantando la identidad de marcas y creando las condiciones para BEC. Si su organización opera en el sector de los viajes, la hostelería, los servicios financieros, el comercio minorista o cualquier sector relacionado con el evento, su dominio y sus empleados son objetivos potenciales.

Si su dominio es un posible objetivo, ahora es el momento de averiguarlo. Realice un análisis gratuito de dominio para comprobar el estado de su autenticación de correo electrónico.

Por qué los grandes eventos suponen un riesgo para la seguridad del correo electrónico de las empresas

El torneo está enormemente sobresuscrito. Las entradas son escasas y la demanda es alta, lo que genera una escasez extrema y urgencia –exactamente las condiciones psicológicas que hacen efectivo el phishing.

Los ciberdelincuentes no solo van tras los aficionados. Los patrocinadores, proveedores, marcas de hostelería, aerolíneas y procesadores de pagos se convierten en objetivos de suplantación cuando un evento de gran magnitud concentra la atención mundial. Las empresas con cualquier asociación de marca con el torneo corren un riesgo elevado, tengan o no una relación formal con la FIFA.

La recopilación de credenciales se extiende también a objetivos corporativos. Se han utilizado portales de empleo falsos de la FIFA –incluidos dominios como fifa-careerhub[.]com y fifaworldcup-careers[.]com– para recabar información personal de los solicitantes. Esos datos alimentan ataques de phishing dirigidos contra las organizaciones para las que trabajan esos solicitantes.

Cómo utilizan los ciberdelincuentes el correo electrónico para cometer fraudes relacionados con la Copa Mundial de la FIFA

Correos electrónicos de phishing que se hacen pasar por la FIFA y marcas del torneo

El fraude relacionado con el Mundial incluye estafas de loterías y sorteos con temática de la FIFA que llegan directamente a las bandejas de entrada, afirmando falsamente que los destinatarios han ganado premios en efectivo a través de loterías o sorteos promocionales de la FIFA.

Para parecer legítimos, los correos electrónicos utilizaban números de referencia, identificadores de ticket, direcciones de oficinas y terminología jurídica. Algunos suplantaban divisiones concretas de la FIFA por su nombre –incluida la «FIFA Legal and Compliance Division»– para aportar mayor credibilidad institucional.

Dominios similares y con errores ortográficos utilizados como infraestructura de remitentes

El fraude relacionado con el Mundial se apoya en gran medida en dominios similares –los ciberdelincuentes han registrado miles de dominios relacionados con la FIFA usando variaciones ortográficas menores o dominios de nivel superior alternativos para suplantar a la FIFA y a las marcas relacionadas. Los investigadores de seguridad y el FBI han identificado miles de dominios falsos confirmados, y se espera que aparezcan más a lo largo del torneo.

Entre los dominios falsos confirmados y señalados hasta la fecha se encuentran fifa.pink, worldcup26ticket.com y fifa-2026.xyz, entre muchos otros. El comunicado de servicio público del FBI, emitido el 27 de mayo de 2026, incluye docenas más, y es probable que la cifra siga aumentando a lo largo del torneo.

Qué significa esto para su dominio

El fraude relacionado con el Mundial no requiere que su empresa tenga ninguna relación con el torneo. Cualquier marca que actúe como proveedor del torneo, opere en una ciudad sede o pertenezca a un sector relacionado con los viajes, los pagos o la hostelería corre un riesgo elevado de suplantación de identidad.

Así es como se manifiesta el fraude en la práctica:

• Su dominio está siendo suplantado. Si su política DMARC está en p=none, los correos electrónicos no autenticados enviados desde su dominio pueden llegar a las bandejas de entrada. Los correos electrónicos falsificados enviados a sus clientes o socios pueden dañar la confianza y facilitar el fraude sin que le des cuenta.
• Se ha registrado un dominio similar para suplantarle. DMARC solo protege su dominio registrado. Los atacantes pueden registrar un dominio muy parecido al tuyo –un TLD diferente, una letra cambiada de lugar, una palabra añadida– y enviar correos electrónicos desde él que eluden por completo sus controles de autenticación.
• Las credenciales de empleados comprometidas se utilizan en tu contra. Las campañas de robo de credenciales están activas y en expansión. Si las credenciales de inicio de sesión de un empleado quedan expuestas en una filtración de datos de terceros o son obtenidas mediante phishing, los atacantes pueden utilizarlas para enviar correos electrónicos desde una cuenta autenticada de forma legítima. DMARC no lo detectará, porque la autenticación es técnicamente válida.

Reducción de la superficie de ataque del correo electrónico durante periodos de alto riesgo

La respuesta adecuada al fraude relacionado con el Mundial es una postura por capas –no un único control. Esto es lo que debes hacer.

Aplicar DMARC en p=reject

p=none ofrece visibilidad, pero no detiene los correos electrónicos falsificados. No proporciona protección, solo visibilidad. p=quarantine desvía los correos sospechosos a la carpeta de spam o correo no deseado, pero no los bloquea. p=reject indica a los servidores receptores que bloqueen los correos no autenticados antes de que lleguen a los destinatarios.

DMARC reportes agregados (RUA) brindan visibilidad continua de cada fuente que envía correo electrónico desde su dominio, incluidas fuentes que no autorizaste. Pasar a p=reject sin revisar antes sus datos de RUA implica el riesgo de bloquear remitentes legítimos. Los reportes hacen que las decisiones de aplicación se basen en datos, no en conjeturas.

Obtener una visibilidad unificada de todas sus configuraciones de SPF, DKIM y DMARC es la base. Sin ella, no puede aplicar políticas con confianza ni identificar remitentes no autorizados antes de que causen daños.

Supervisar dominios similares

DMARC cubre su dominio registrado. No protege contra los dominios similares creados para suplantar su identidad.

El Lookalike Domain Defense de Sendmarc identifica los dominios registrados para imitar su marca, frecuentemente utilizados en campañas de phishing dirigidas a sus clientes y socios. Se trata de una supervisión continua, no de una verificación puntual. Durante los periodos de alto riesgo, como el Mundial, pueden aparecer rápidamente nuevos dominios similares.

Detectar credenciales comprometidas

Breach Detection detecta las credenciales de empleados expuestas en filtraciones de datos, lo que permite a los equipos de seguridad actuar antes que los atacantes.

La exposición de credenciales alimenta la apropiación de cuentas y el BEC. Detectarla a tiempo reduce la ventana de explotación –y en un momento en que las campañas de robo de credenciales operan a gran escala, esa ventana importa.

Protege a tu organización contra el fraude relacionado con el Mundial

El Mundial de 2026 creó las condiciones propicias para el fraude a gran escala: una audiencia global, una escasez extrema y dinero moviéndose con rapidez.

El fraude relacionado con el Mundial alcanza su punto máximo entre ahora y el 19 de julio. Si su empresa opera en cualquier sector con exposición relacionada con el evento –viajes, hostelería, servicios financieros, comercio minorista–, el momento adecuado para confirmar su estado de autenticación de correo electrónico es ahora, no a mitad del torneo.

Los equipos de seguridad sobrecargados que gestionan entornos distribuidos no pueden permitirse investigar manualmente los errores de configuración durante un periodo de riesgo elevado. La supervisión continua, una política de DMARC aplicada y la detección de exposición de credenciales reducen esa carga de trabajo –y cierran las brechas que los atacantes buscan activamente.

Descubre cómo Sendmarc ayuda a los equipos a aplicar DMARC, detectar dominios similares y descubrir credenciales comprometidas.