Alerta: estafa de inversión que suplanta al Presidente y a YPF bajo la marca «Argentina LNG»

Qué documentaba la alerta del 28 de agosto

La alerta describía anuncios de inversión que usaban la imagen del Presidente de la Nación, la marca YPF y el diseño de LA NACION bajo el nombre «Argentina LNG». El señuelo buscaba captar datos y continuar el engaño por teléfono. La oferta descrita era falsa; las personas y las marcas aparecían suplantadas.

El estado «activa» corresponde al 28 de agosto de 2026. No es una comprobación actual del formulario, de los anuncios o de los dominios. La investigación posterior desarrolla el recorrido y sus reservas en el análisis «Argentina LNG» y los límites de la atribución.

Esta precisión también evita extender la alerta a cualquier proyecto energético homónimo. El objeto del caso es la oferta de los anuncios y de las páginas falsas, no una afirmación general sobre proyectos reales ajenos al material observado.

Por qué una visita de escritorio podía mostrar otra página

El análisis original identifica un sistema de distribución de tráfico, TDS.SO, y describe segmentación por país, dispositivo, navegador, idioma, horario e ISP. En el recorrido documentado, un móvil procedente de publicidad podía recibir el señuelo, mientras una revisión desde escritorio terminaba en una página de horóscopos.

La diferencia explica por qué una visita aislada a una fachada inocua no basta para reconstruir el recorrido del anuncio. El texto llama cloaking a esa presentación selectiva. La mención de TDS.SO documenta el mecanismo descrito; no recomienda su uso ni atribuye al proveedor la operación de la campaña.

La alerta también afirma migraciones en menos de 24 horas con conservación de clics y conversiones. Se conserva como afirmación del registro histórico, pendiente de corroborar con los registros de esas migraciones antes de reutilizarla como métrica operativa. No se presenta como capacidad garantizada ni como nueva medición.

Los hallazgos de aquella ampliación

Se pasó de dos a ocho cuentas de Google Ads identificadas, asociadas a pequeñas empresas estadounidenses de jardinería, mudanzas, construcción, indumentaria, belleza y hotelería. El análisis posterior aclara que el mecanismo de acceso a esas cuentas no se determinó. Sus nombres siguen omitidos; no se acusa a esas empresas de dirigir el fraude.

La referencia a más de 60 dominios describe infraestructura compartida. La investigación completa advierte que el co-alojamiento no prueba participación. La cifra no debe leerse como una lista de más de 60 indicadores confirmados de esta campaña.

El formulario mostraba «un operador se contactará». La alerta lo relacionaba con la fase telefónica de vishing; la investigación posterior aporta la descripción de llamadas y reintentos. El mensaje visible y esa secuencia histórica no prueban la actividad actual de un call center.

Dominios publicados y límites de uso

La lista parcial del caso contiene uedaira[.]com, skavrix[.]digital, ozrima[.]digital, adwernews[.]com, clayparcel[.]digital, inkbarrel[.]digital, tafmira[.]digital y tafmir[.]digital. Los corchetes evitan convertirlos en enlaces operativos; no los visites para comprobar esta alerta.

tomboy-clothing[.]com figura por su papel intermedio observado. Podría haber sido un comercio legítimo comprometido: la hipótesis requiere validación antes de atribuir o bloquear. La lista ampliada de co-alojados no se convierte aquí en indicadores de campaña.

Se mantienen las ocho cuentas anunciantes como parte del registro, con nombres reservados para autoridades y equipos de respuesta. Los nombres corresponden al registro histórico; no se presentan como datos actualizados sobre Google Ads ni sobre titulares privados.

Qué hacer con una oferta que reproduzca este señuelo

La prevención del caso consiste en no ingresar datos, completar formularios o transferir dinero en sus destinos. Para difundir la alerta, compartí la investigación y su fecha, no enlaces de campaña ni una afirmación no comprobada de que sigue activa.

La publicación original remitía al reporte del anuncio en Google Ads y mencionaba UFECI o defensa del consumidor. Los canales y sus competencias pueden cambiar; deben comprobarse en los medios oficiales antes de tramitar un reporte. La nota no constituye una denuncia formal.

Para DNS/proxy, los dominios son elementos a evaluar con evidencia y contexto. No se propone bloquear por alojamiento compartido ni por la mera aparición de un negocio como anunciante.

Límites de la alerta

La marca del anunciante, la marca suplantada y el operador son entidades diferentes. La aparición de una empresa en el anuncio no basta para demostrar su participación. Tampoco se confirmó aquí el vínculo internacional que se discute como hipótesis en el análisis completo.

La alerta tiene fines de investigación y prevención, no de asesoramiento financiero o legal. Las afirmaciones sobre estado de actividad, rapidez de migración y cuentas se conservan con su fecha y sus reservas, sin presentarlas como verificadas de nuevo.

Tres referencias de confianza en un mismo señuelo

La imagen presidencial aporta apariencia de respaldo oficial; la copia de LA NACION, una presentación periodística; y YPF, reconocimiento de marca. El análisis interpreta que esa combinación busca reducir la desconfianza. No mide su efecto sobre todos los usuarios ni acredita que las entidades respalden la inversión.

Continuidad del caso y evidencia

El análisis posterior de la campaña distingue los dominios descritos, las llamadas, el co-alojamiento y la hipótesis de «Swap Adipex AI». La evidencia técnica completa se ofrece a autoridades y equipos de respuesta mediante contacto@cyberthreatintelligence.lat, como en la publicación original.

La versión descargable se retiró temporalmente mientras se actualiza. El contenido vigente es el de esta página.