Correo Argentino: cloaking de seis señales y un chat que solicita datos de tarjeta

Qué se observó y qué no se pudo confirmar

La investigación sobre la suplantación de Correo Argentino no termina en una página clonada. El recorrido documentado combina una supuesta «tasa de liberación de encomienda», un chat que pide número de tarjeta, vencimiento y código de seguridad, y una imagen del paquete personalizada con los datos introducidos. La otra cara del mismo sitio muestra una tienda de plantillas de Excel.

El punto central es esa diferencia de presentación. Según el perfil de visita, el usuario encontraba el flujo que solicitaba datos o una fachada comercial. La reconstrucción del motor de decisión se hizo comparando comportamientos ante distintos perfiles, no mediante una validación con el banco emisor.

La respuesta del chat no acredita una autorización bancaria. La aparente validación instantánea de la tarjeta se presenta como una inferencia: no se confirman cargos ni una comunicación efectiva con el emisor.

La imagen con nombre y dirección refuerza el señuelo de la encomienda. Se observó el resultado personalizado y su aparición durante la conversación; eso no permite certificar por sí solo cómo está implementado el generador interno. Los detalles de servidor, panel y lógica de pagos retirados de la publicación no se restituyen aquí.

Resumen técnico del flujo documentado

• Presentación selectiva: una versión de suplantación postal y otra de venta de plantillas, mostradas bajo distintos perfiles de acceso.
• Captura conversacional: solicitud de datos completos de tarjeta en el chat; aparente comprobación en tiempo real, no verificada con el emisor.
• Personalización: una imagen de «paquete» con los datos de la persona y una etiqueta con apariencia manuscrita.
• Marcas observadas: la investigación describe suplantaciones de Correo Argentino y Correo de Chile. Las marcas no se presentan como participantes del fraude.

Estos componentes describen el recorrido visible. No bastan para establecer el país de origen del kit, su operador o el destino final del dinero. Tampoco convierten las señales de cloaking en una medición de cuántas víctimas o visitas tuvo la campaña.

Las seis señales de la reconstrucción de cloaking

La nota original organizó la reconstrucción en seis señales. Se conserva esa estructura y se distingue el comportamiento observado de las explicaciones sobre implementación. No es una nueva ejecución del kit ni una certificación independiente de su código.

1. Dispositivo y procedencia del tráfico. En las visitas descritas, el flujo fraudulento se mostraba a móviles que llegaban desde anuncios pagos con sus parámetros de seguimiento; las visitas de escritorio recibían otra presentación. El resultado se limita a los perfiles probados.
2. User-Agent y Client Hints. La reconstrucción plantea un contraste entre el navegador declarado y las señales de plataforma. El ejemplo del artículo enfrenta un User-Agent de iPhone con una plataforma Windows o macOS; no demuestra que todos los posibles perfiles se evalúen de la misma manera.
3. Señales de DevTools. El análisis describe diferencias entre dimensiones de ventana y área visible, y una comprobación con un getter de un objeto Image y console.log. Se conservan como mecanismos descritos en la investigación, sin recuperar los detalles internos retirados ni añadir un código de evasión.
4. Movimiento del mouse. El artículo relaciona estos eventos con la exclusión de la versión fraudulenta y una marca de «no objetivo» mediante cookie. La expresión previa «de por vida» no queda demostrada por una observación limitada: el plazo no se afirma como verificado.
5. Huellas de automatización. La reconstrucción describe el contraste del User-Agent con patrones de bots y herramientas de prueba, asociado a que se oculte el flujo fraudulento.
6. Persistencia del resultado del filtro. La repetición de la fachada durante varios días motivó la hipótesis de una lista negra persistente de IPs. La propia nota advierte que no pudo verificar su duración. No se equipara esa inferencia con acceso a una lista almacenada en el servidor.

Origen del tráfico: una hipótesis separada

La observación declarada incluye la distribución por Google Ads y Facebook Ads. Otra pregunta, todavía abierta, es si redes de afiliados vinculadas a streaming de fútbol no autorizado aportan una parte importante del tráfico. El caso no demuestra ese origen ni cuantifica su participación.

La hipótesis propone que un mismo conjunto de visitas podría repartirse entre un APK malicioso, un falso soporte técnico y un flujo de phishing según el perfil del visitante. Es una explicación posible del negocio, no la constatación de que esos tres destinos se hayan observado en esta investigación. La segmentación técnica del sitio no prueba por sí sola una relación con una red de afiliados.

Método, inferencias y lectura complementaria

El material de partida presenta como observaciones propias las dos versiones del sitio, los anuncios, la solicitud de datos en el chat y la imagen personalizada. Presenta la validación con el emisor, la lista negra y el origen del tráfico con distintos límites que deben mantenerse separados. No se transforma una respuesta del formulario en confirmación del banco.

La revisión del 7 de octubre también retiró una atribución de origen y detalles internos sin base pasiva o pública. Esta versión conserva esas decisiones y reorganiza el texto para que el resumen no afirme más que el método.

Como lectura complementaria, el informe CASHCLOAK LATAM sobre anuncios y destinos engañosos separa observación, evaluación y atribución. El enlace no demuestra un operador ni una infraestructura común entre los dos casos.

La versión descargable se retiró temporalmente mientras se actualiza. El contenido vigente es el de esta página.