Índice de lectura
Del anuncio a la oferta: qué cubre esta investigación
Un chat que usa Mercado Libre ofrece planes de 5, 10 y 20 millones de pesos y se presenta como «verificado por YPF». Una falsa nota con el diseño de La Nación promete un 450 % sobre un mínimo de 200.000 pesos, después de pagar una «fianza». Otra página emplea la marca Balanz y solicita número de tarjeta, titular, vencimiento y código de seguridad para «depositar». Son promesas y solicitudes de los señuelos, no rendimientos ni pagos verificados por la investigación.
Documenté esos recorridos desde un teléfono el 30 de septiembre y el 1 de octubre de 2026, hora de Argentina. Casi todos comenzaron en publicidad marcada como «Patrocinado»: navegador, Gmail Promociones o redes de anuncios nativos. En los anuncios de Google observados aparecía la leyenda de identidad del anunciante verificada.
La distinción útil para el lector es entre la identidad declarada del anunciante y la legitimidad de la oferta de destino. La presencia de la leyenda no permitió concluir que los rendimientos, las marcas o los formularios fueran auténticos.
CASHCLOAK LATAM es la etiqueta de seguimiento de este trabajo. No es un nombre de actor ni demuestra que los recorridos pertenezcan a una sola banda. El informe completo y sus límites de evidencia separa lo observado, las evaluaciones y lo no establecido.
Cinco observaciones, con límites distintos
Anunciantes declarados en seis países
La muestra incluye países declarados como Reino Unido, Chipre, Países Bajos, Ucrania, Australia y Brasil, con anuncios dirigidos a usuarios argentinos. Esos datos describen lo mostrado sobre el anunciante. No identifican la ubicación del operador del sitio ni prueban que el pagador controle el destino. La lectura de un mercado de compra de tráfico es una evaluación, no una atribución individual.
La dirección mostrada y la página abierta pueden diferir
Un anuncio de moda femenina, con anunciante declarado en Ucrania, terminó en lunarbutton[.]site, una falsa nota de inversión con diseño de La Nación. El salto es compatible con redirección o cloaking. La observación del usuario no permitió determinar cuál de los dos mecanismos produjo ese resultado.
Una misma marca aparece en varios señuelos
Mercado Libre fue la marca más repetida en la muestra: una falsa nota con chat, el «gestor personal» de epicharvest[.]info y la oferta de «CFD de Mercado Pago». Esa recurrencia describe los recorridos observados, no una clasificación de todo el fraude argentino. Compartir marca no demuestra compartir operador.
Captar un teléfono también puede ser el objetivo
El recorrido de «CFD de Mercado Pago» pasa por falcon-press[.]com y anuncia que «un ejecutivo de inversiones lo llamará». La evaluación de captación para un call center de inversión tiene confianza moderada. El mensaje visible y esa interpretación no son lo mismo que haber comprobado quién llama, desde dónde o qué pago termina efectuándose.
El formulario de la marca suplantada pide la tarjeta completa
En app.balanztrading[.]com se observó la marca Balanz junto a sellos de «Cumple PCI-DSS» y 3-D Secure. La investigación identifica una suplantación, no participación de Balanz. La solicitud de datos es parte del riesgo documentado; los sellos visibles no se validaron como certificaciones y no se confirmó robo efectivo de tarjetas ni cargos.
Una landing de «Guía Créditos ANSES» mostró contenido temático sin solicitar datos sensibles. Se conserva como contexto, no como phishing. Tampoco se atribuye participación a Google, a los bancos o a las marcas por aparecer en estos recorridos. No establecí un operador común.
Cómo usar los hallazgos sin exceder la evidencia
Para lectores y usuarios
La recomendación del caso es revisar el destino real antes de ingresar datos y no tomar la marca, el sello o la identidad declarada del anuncio como prueba de la oferta. Los rendimientos garantizados, la «fianza» y la solicitud de tarjeta en el sitio suplantado forman parte de las señales descritas. No se recomienda visitar los dominios de esta nota ni completar sus formularios.
Este caso documenta un formulario suplantado; no verifica las prácticas de todos los brokers ni certifica cumplimiento PCI-DSS. La prevención se apoya aquí en el destino y el contexto observados, no en esa generalización.
Para equipos de fraude, SOC y CTI
El informe propone contrastar indicadores con registros de DNS/proxy y operaciones posteriores, y buscar en los reclamos expresiones como «fianza», «gestor personal», «verificado por YPF» o «un ejecutivo lo llamará». Son pistas para contextualizar, no prueba autónoma de fraude en cualquier transacción.
El CSV público distingue tres indicadores BLOCK y cuatro HUNT. Se conservan sus etiquetas históricas: HUNT es para investigación, no una orden de bloqueo. Incluye descubre.upmegaconectnotification[.]click y su dominio padre; no describo el contenido de ese destino. La edición no actualiza la vigencia de los indicadores ni sustituye su validación operativa.
Método y alcance de la muestra
La observación fue pasiva: anuncios mostrados en el teléfono, datos de «Mi centro de anuncios» y páginas abiertas al tocarlos. Conservo las capturas originales y los SHA-256 registrados en el archivo de evidencia de la investigación, y separo las afirmaciones observadas, las evaluadas con confianza y lo que no pude establecer. Esos materiales corresponden a la recolección original y no deben interpretarse como una medición posterior.
Un teléfono y dos días documentan recorridos concretos. No miden incidencia, pérdidas, número de afectados ni frecuencia regional. Los países de los anunciantes no se convierten en países de víctimas. Antes de publicar, notifiqué los hallazgos a equipos de respuesta a incidentes de la región y a las marcas suplantadas.
Informe, indicadores y versión descargable
El informe público desarrolla seis verticales, límites de evidencia, MITRE ATT&CK y recomendaciones por rol. Para profundizar, usá los documentos del caso, no los destinos de campaña.
Leer el informe completo de CASHCLOAK LATAM.
Descargar los indicadores (CSV): siete dominios con contexto, tres BLOCK y cuatro HUNT, todos defangeados ([.]). No los visites.
Descargar el informe completo (PDF · 15 páginas): las 16 secciones del informe, con tablas, indicadores, MITRE ATT&CK, método y cita.
El PDF y el CSV conservan sus versiones históricas y esta página no los modifica; cada descarga debe citarse con su propia fecha y versión.
TLP:CLEAR · CC BY 4.0 · Publicado: octubre de 2026. Describe observaciones hechas como usuario y evaluaciones señaladas como tales. No atribuye responsabilidad a personas ni a empresas; las marcas nombradas son víctimas de suplantación.
Ezequiel Jorge La Terra · ORCID 0009-0008-1677-4218 · Texto bajo licencia CC BY 4.0.
Cómo citar: La Terra, E. J. (2026). "Identidad verificada", destino engañoso: cómo los anuncios pagos llevan a usuarios argentinos a falsas inversiones. Cyber Threat Intelligence LATAM. Octubre de 2026. https://cyberthreatintelligence.lat/blog/cashcloak-anuncios-verificados-falsas-inversiones/
Reciba las notas nuevas por correo
Cuando sale una nota nueva, te aviso por correo. Sin propaganda y sin compartir tu dirección.
Gracias, la suscripción quedó registrada. Recibirá un aviso cuando salga una nota nueva.