Fraude «Argentina LNG» con la marca YPF: campaña observada y una hipótesis de vínculo internacional

Campaña observada y alcance de la atribución

La campaña denominada «Argentina LNG» usó la imagen del Presidente de la Nación, marcas energéticas y una copia de LA NACION como señuelos de inversión. El recorrido documentado combina anuncios, una falsa noticia, un formulario de nombre, correo y teléfono, y contacto posterior de supuestos asesores. Las personas, el medio y las empresas mencionadas aparecen como suplantados, no como responsables del fraude.

Este análisis fue publicado originalmente el 31 de agosto de 2026 y tiene como antecedente la alerta del 28 de agosto sobre «Argentina LNG». La actividad, los dominios y las llamadas se describen dentro de ese corte histórico. La actividad de los destinos no se presenta como vigente fuera de ese corte histórico.

La investigación registra ocho cuentas anunciantes, redirecciones distintas según el acceso y rotación de dominios. También compara el recorrido con «Swap Adipex AI», descrito por iQBlack. La observación de la campaña y la hipótesis de vínculo internacional son dos niveles de evidencia diferentes.

La oferta falsa y las entidades suplantadas

El señuelo copió tipografía, isotipo y navegación de LA NACION: Política, Foodit, Club LN y Mi cuenta. La página falsa vinculaba la oferta con YPF, Eni y XRG, e incorporaba un montaje del Presidente en una supuesta cumbre junto a ejecutivos. Su apariencia institucional formaba parte de la persuasión.

La pieza atribuía a un periodista una declaración inventada que ofrecía «6.900.000 ARS mensuales» a cada participante. Es una promesa del señuelo, no un rendimiento observado. La nota falsa, el uso de marcas y el montaje no acreditan un respaldo de esas personas o entidades a la inversión.

La suplantación se distribuye entre cuatro elementos: la imagen presidencial, la cita periodística falsa, la identidad visual del diario y las marcas YPF / Eni / XRG. El objeto de este análisis es esa oferta y su recorrido de captación; no establecer la existencia o inexistencia de cualquier proyecto energético que use un nombre parecido.

Distribución, cloaking e infraestructura documentada

Dos respuestas según el perfil de acceso

Se documentaron anuncios en Gmail Promociones dirigidos a usuarios en Argentina, con mayor presencia observada en horario nocturno. En las pruebas realizadas, la cadena se activó desde móviles iOS/Android. No se transforma ese resultado en una regla comprobada para todos los dispositivos u horarios.

Recorrido móvil: clic en Gmail → uedaira[.]com o skavrix[.]digital → falsa nota de LA NACION → formulario → confirmación de contacto. Escritorio o acceso directo: presentación de un portal de horóscopos con datos de contacto descritos como ficticios. Esa diferencia fundamenta el análisis de segmentación y cloaking del caso.

Indicadores y función descrita

El informe vincula los dominios de campaña con la IP histórica 178[.]16[.]52[.]96. La lista pública conserva la función descrita, no un estado actualizado:

• uedaira[.]com: página con la nota clonada.
• skavrix[.]digital: destino de redirección.
• ozrima[.]digital / adwernews[.]com: redirección publicitaria.
• clayparcel[.]digital / inkbarrel[.]digital: rotación de tráfico.
• tafmira[.]digital / tafmir[.]digital: dominios espejo.

tomboy-clothing[.]com se observó como intermediario. Su posible condición de comercio legítimo comprometido es una hipótesis que requiere validación; no autoriza a atribuirle control de la campaña.

La investigación registra más de 60 dominios co-alojados en la misma IP. Esa cifra no equivale a más de 60 dominios de fraude confirmados. La lista ampliada no se publica y el texto original la deja disponible para equipos de respuesta. No se incorpora al bloqueo como si compartir alojamiento demostrara pertenencia.

Qué muestran las ocho cuentas anunciantes

Las ocho cuentas de Google Ads identificadas aparecían asociadas a pequeñas empresas de Estados Unidos sin relación con energía ni con el mercado latinoamericano. El caso es compatible con robo de credenciales o compra de accesos, pero no determinó el mecanismo. Figurar como anunciante no prueba quién controlaba la cuenta o el destino.

Los nombres retirados de la versión pública permanecen omitidos. No se presentan a las empresas como operadoras del fraude ni se convierte la descripción de abuso en una verificación independiente de sus credenciales.

Del formulario a las llamadas

La investigación describe llamadas de supuestos asesores financieros en menos de 24 horas después del envío del formulario, con presión y reintentos durante días. Esa secuencia ubica una parte relevante del engaño fuera de la página web: la captación de contacto precede a la persuasión telefónica.

La repetición organizada de llamadas es compatible con un call center. No se confirmó su ubicación. El plazo y el comportamiento son los declarados en el caso histórico, no una medición nueva de todas las personas que completaron el formulario.

«Swap Adipex AI»: una comparación de fuente única

El artículo cita el registro 3C-INT de iQBlack, fechado el 20 de marzo de 2026. Sobre esa fuente compara cinco rasgos: noticia falsa → formulario → llamada; ofertas de cripto o energía; figuras públicas como señuelo; cloaking, páginas puente y rotación; y vishing.

TDS.SO figura en la descripción de evasión de «Argentina LNG». Los call centers de Centroamérica pertenecen a la descripción atribuida a la fuente comparada; no se trasladan como ubicación confirmada de este caso. Las coincidencias sostienen una línea de investigación, no la identidad del operador ni una atribución cerrada.

Qué permite concluir y cómo reutilizarlo

El caso documenta una campaña histórica que combina suplantación de confianza, publicidad, presentación selectiva y contacto telefónico. No demuestra que toda infraestructura compartida sea maliciosa ni que los casos comparados tengan el mismo responsable.

Para equipos de defensa, la propuesta es conservar registros y evaluar los indicadores de campaña con su contexto antes de adoptar una medida. La IP compartida y el dominio intermediario exigen especial atención a los falsos positivos. No se recomienda una lista de bloqueo indiscriminada ni se certifica aquí la vigencia actual de los dominios.

La comunicación preventiva debe identificar la oferta falsa, las marcas suplantadas y las promesas que usaba. Los anuncios pueden reportarse a la plataforma y la evidencia preservarse para las autoridades competentes. El artículo no sustituye asesoramiento legal o financiero ni acredita una denuncia presentada.

Colaboración y versiones

Esta investigación contó con la colaboración de la plataforma iQBlack y de su equipo de analistas, liderado por Jorge Mieres. La hipótesis de fuente única no constituye corroboración independiente.

La versión descargable se retiró temporalmente mientras se actualiza. El contenido vigente es el de esta página.