Madrid, 20 de octubre de 2026 – Check Point® Software Technologies Ltd. (NASDAQ: CHKP), pionero y líder global en soluciones de ciberseguridad, ha identificado a través de sus investigadores de Check Point Exposure Management una infraestructura de phishing que oculta páginas fraudulentas tras dominios aparentemente inactivos. Aunque la dirección principal muestre una pantalla en blanco o un mensaje de “Página no encontrada”, el contenido malicioso puede seguir accesible a través de rutas específicas y bajo determinadas condiciones.
La investigación partió de un pequeño conjunto de URL fraudulentas conocidas. Los investigadores identificaron patrones técnicos comunes que permitieron vincular miles de dominios dirigidos a organizaciones y usuarios de distintas regiones. La infraestructura utiliza rutas regionales, diferentes idiomas, controles de sesión y acceso mediante tokens para adaptar las campañas a cada mercado y determinar cuándo se muestra el contenido fraudulento.
Una página de error puede ocultar una campaña activa
Esta técnica plantea un problema para los equipos de seguridad. Las direcciones completas de las páginas fraudulentas pueden distribuirse mediante mensajes de texto, correos electrónicos, WhatsApp y otros canales privados. Si el análisis se limita al dominio principal y no dispone de la dirección completa, puede resultar difícil determinar si existe una página de phishing activa.
Una combinación poco habitual de tecnologías de servidor, entre ellas GoFrame HTTP Server y Caddy, junto con las características de las respuestas y otros patrones de comportamiento recurrentes, permitió establecer una huella técnica para localizar infraestructuras relacionadas. Este procedimiento redujo aproximadamente 19.000 resultados iniciales a 322 direcciones IP candidatas. A partir de esa selección, los investigadores pudieron relacionar la infraestructura con miles de dominios asociados a las campañas.
Las dimensiones del conjunto también variaban con el tiempo. En una recopilación de datos realizada durante septiembre, los investigadores identificaron 10.187 dominios asociados a la infraestructura, de los cuales el 90 % pertenecía a la categoría de mayor actividad maliciosa. Una captura posterior recogió 5.785 dominios, lo que pone de manifiesto la elevada variabilidad de la infraestructura entre las distintas recopilaciones.
Una misma infraestructura para campañas adaptadas a cada país
El análisis de 500 dominios permitió identificar campañas dirigidas a diferentes regiones y sectores. En el sudeste asiático predominaban las suplantaciones de bancos, entidades financieras y programas de recompensas; en Europa, las relacionadas con transporte, aparcamientos, impuestos, Administración pública y entrega de paquetes. En América Latina se detectaron suplantaciones de entidades financieras, organismos públicos, servicios postales y programas de ayudas sociales. También se observaron campañas dirigidas a usuarios de Israel, Australia, África y Asia.
Pese a las diferencias de marcas, idiomas y sectores, las campañas compartían estructuras de API, esquemas de configuración y mecanismos de adaptación lingüística. Estas similitudes apuntan al uso de un conjunto de herramientas compartido o una plataforma reutilizable que permite desplegar campañas localizadas sin desarrollar una infraestructura completamente nueva para cada región.
Uno de los casos estudiados afectaba a un dominio relacionado con un programa de recompensas dirigido a clientes de un grupo financiero de Centroamérica. Tanto el dominio principal como una de sus rutas regionales mostraban un mensaje de «Página no encontrada». Sin embargo, al acceder a «/pa», aparecía una pantalla de verificación personalizada. El proceso generaba un identificador de sesión o token antes de redirigir al visitante al contenido fraudulento.
La plataforma admitía numerosos idiomas, entre ellos español, inglés, francés, alemán, portugués, árabe, hebreo, japonés, coreano, hindi, ruso y chino. Los investigadores encontraron estructuras de API y configuraciones equivalentes en distintas campañas, aunque podían variar la marca suplantada, el idioma, la moneda y los catálogos de recompensas.
Cómo detectar la infraestructura que se esconde tras el dominio
Los dominios y sus asociaciones con direcciones IP cambiaron significativamente entre las distintas recopilaciones, lo que reduce la utilidad de los indicadores individuales a largo plazo. Por ello, los investigadores recomiendan analizar los patrones técnicos y de comportamiento que se repiten, en lugar de depender únicamente de dominios concretos.
Entre los indicadores útiles figuran las rutas regionales ocultas, el acceso mediante tokens, las rutas de API aleatorias, los esquemas de configuración reutilizables, los mecanismos de adaptación lingüística y los procesos controlados por sesión. Una respuesta genérica de «Página no encontrada» tampoco debe considerarse suficiente para descartar una amenaza cuando existen otros indicios sospechosos.
La combinación de tecnologías de servidor, directorios regionales, parámetros de idioma, puntos de acceso que generan tokens y estructuras de aplicación recurrentes puede ayudar a detectar infraestructuras relacionadas incluso cuando cambian los dominios visibles.
Los investigadores no han podido atribuir de forma concluyente la actividad a un kit de phishing, proveedor, operador o grupo de ciberdelincuentes concreto. Los indicios apuntan a un conjunto de herramientas o una plataforma compartida, pero sería necesario obtener más pruebas para establecer una atribución específica.
“Esta investigación demuestra que una página aparentemente inactiva no siempre es una página inofensiva. Los ciberdelincuentes pueden ocultar campañas de phishing tras mensajes de error y activarlas únicamente cuando se cumplen determinadas condiciones, lo que dificulta su detección mediante comprobaciones convencionales. Para identificar estas amenazas, los equipos de seguridad deben ir más allá del dominio visible y analizar los patrones técnicos, las rutas de acceso y los comportamientos que permiten relacionar infraestructuras aparentemente distintas”, señalan los investigadores de Check Point Exposure Management.
Sigue a Check Point Software a través de:
LinkedIn:https://www.linkedin.com/showcase/check-point-software-espana/
X: @CheckPointSpain
Facebook: https://www.facebook.com/checkpointsoftware
Blog: https://blog.checkpoint.com/
YouTube: https://www.youtube.com/user/CPGlobal
Acerca de Check Point Software Technologies Ltd.
Check Point Software Technologies Ltd. (www.checkpoint.com) es líder global en ciberseguridad, protegiendo a más de 100.000 organizaciones en todo el mundo. Su misión es garantizar la transformación basada en IA de las empresas. Con un enfoque centrado en la prevención y una arquitectura de ecosistema abierto, Check Point ayuda a las organizaciones a bloquear amenazas avanzadas, priorizar exposiciones y automatizar operaciones de seguridad en entornos digitales complejos.
Su arquitectura unificada simplifica la protección en redes híbridas, entornos multicloud, espacios de trabajo digitales y sistemas de IA. Estructurada en cuatro pilares estratégicos —Hybrid Mesh Network Security, Workspace Security, Exposure Management y AI Security—, Check Point garantiza una protección y visibilidad consistentes en entornos multivendor, permitiendo reducir riesgos, aumentar la eficiencia y acelerar la innovación sin incrementar la complejidad.
©2026 Check Point Software Technologies Ltd. Todos los derechos reservados.
Aviso legal sobre declaraciones prospectivas
Este comunicado de prensa contiene declaraciones prospectivas. Las declaraciones prospectivas se refieren, en general, a eventos futuros o al futuro rendimiento financiero u operativo de la compañía.
Las declaraciones prospectivas incluidas en este comunicado de prensa incluyen, entre otras, afirmaciones relacionadas con nuestras expectativas sobre el crecimiento futuro, la expansión del liderazgo de Check Point en el sector, el refuerzo del valor para los accionistas y la disponibilidad de una plataforma de ciberseguridad líder en el sector para clientes de todo el mundo.
Nuestras expectativas y creencias sobre estos asuntos pueden no materializarse, y los resultados o acontecimientos futuros están sujetos a riesgos e incertidumbres que podrían provocar que los resultados o eventos reales difieran sustancialmente de los proyectados.
Las declaraciones prospectivas contenidas en este comunicado de prensa también están sujetas a otros riesgos e incertidumbres, incluidos aquellos descritos con mayor detalle en nuestros informes presentados ante la Securities and Exchange Commission (SEC), incluido nuestro Informe Anual en el Formulario 20-F presentado ante la SEC el 17 de marzo de 2025.
Las declaraciones prospectivas incluidas en este comunicado de prensa se basan en la información disponible para Check Point en la fecha del presente documento, y Check Point renuncia a cualquier obligación de actualizar dichas declaraciones prospectivas, salvo cuando así lo exija la legislación aplicable.
©2026 Check Point Software Technologies Ltd. Todos los derechos reservados.
