Anuncios verificados, destinos que no coinciden

01 · Resumen ejecutivo

Tráfico y persuasión compartidos, sin operador común establecido

CASHCLOAK LATAM es el nombre de seguimiento que uso en Cyber Threat Intelligence LATAM para esta investigación. Es una etiqueta de trabajo, no el nombre de un grupo ni de un actor.

02 · Hallazgos clave

Siete hallazgos

1. La puerta de entrada es publicidad paga y verificada.Anuncios de Google en el navegador y en Gmail Promociones con la leyenda "Identidad del anunciante verificada por Google". Esa verificación acredita quién paga el anuncio, no que la oferta sea legítima.
2. Los anunciantes declarados son muchos y están dispersos.Anunciantes declarados en al menos seis países (Reino Unido, Chipre, Países Bajos, Ucrania, Australia y Brasil), con anuncios dirigidos a usuarios argentinos. Es coherente con un mercado de compradores de tráfico, no con un operador único.
3. El dominio del anuncio y el del destino pueden no coincidir.Un anuncio que mostraba un sitio de moda femenina llevó a una falsa nota de inversión en otro dominio. Es compatible con una redirección o con cloaking; desde el lado del usuario no se puede determinar cuál de los dos ocurrió.
4. Mercado Libre es la marca más usada como señuelo,en al menos tres formatos: falsa nota con chat, chatbot de "gestor personal" y "CFD de Mercado Pago". Que compartan marca no demuestra que compartan operador.
5. Un sitio con la marca Balanz pide la tarjeta completa con código de seguridad.No es Balanz. Pedir el CVC en un formulario propio para "depositar" es una señal de riesgo grave, aunque no se pudo confirmar que se hayan robado tarjetas.
6. No todo lo que aparece en este circuito es fraude.Una landing de "Guía Créditos ANSES" mostraba contenido temático sin pedir datos sensibles. Se incluye como contexto, no como phishing.
7. Un anuncio verificado apuntaba a un subdominio genéricoque no remite a ninguna marca conocida. Se publica como indicador de búsqueda, sin afirmar qué contenido servía.

03 · Alcance

Qué es y qué no es esta publicación

El alcance es la experiencia del usuario que documenté: anuncios mostrados en un teléfono, información de «Mi centro de anuncios» y páginas abiertas a partir de esa interacción. Conservo las capturas originales y los SHA-256 registrados en el archivo de evidencia de la investigación. Este informe no presenta una medición de audiencia, una prueba del backend ni un inventario completo de la infraestructura.

Anunciante declarado, dominio visible, landing y paso de conversión son roles distintos. No se atribuye responsabilidad a personas ni se demuestra que los anunciantes controlen los destinos. Google, Mercado Libre, Balanz, YPF, La Nación, ANSES y los bancos nombrados aparecen como plataformas o marcas utilizadas; su presencia no demuestra participación en el fraude.

Los roles antes que los nombres

A los anunciantes que figuran como pagadores no los nombro ni los identifico de ninguna forma, ni indico de qué tipo son; sus datos van solo a la plataforma, por el canal de reporte correspondiente. Hablo únicamente de su país declarado, porque lo que importa es el patrón y no quién figura como titular.

04 · La señal de confianza

Qué prueba un anuncio "verificado" y qué no

La evidencia recoge la leyenda «Identidad del anunciante verificada por Google» y la ubicación declarada mostrada al consultar el anuncio. El alcance observado es ese disclosure: no una auditoría del proceso de verificación ni una confirmación independiente de la identidad del titular.

El dato ayuda a conservar el contexto y a reportar un anuncio, pero no acredita la legitimidad de la oferta ni el control del sitio de destino. El informe contempla afiliados e intermediarios como posibles explicaciones; no confirma que alguno de esos roles corresponda a cada pagador.

La hipótesis de persuasión es que la señal de verificación, sumada al diseño de un diario o a una marca conocida, puede transmitir confianza sobre la oferta. El estudio no midió esa percepción ni una tasa de conversión. La distinción operativa es revisar tanto el anuncio como la página que efectivamente se abre.

05 · El recorrido

De la atención al dato

Las verticales observadas no recorren todas los mismos pasos, pero encajan en un esquema común:

1. Anuncio pago"Patrocinado", con identidad del anunciante verificada.
2. Dominio mostrado → destino real a veces distintosEl sitio del anuncio puede no ser la página que se abre.
3. PersuasiónFalsa nota, marca conocida, autoridad prestada, urgencia.
4. ConversiónChat · teléfono (+54) · tarjeta completa con CVC.
5. Siguiente paso fuera de la páginaLlamada, "fianza", "depósito".

Las flechas describen el recorrido de un usuario, no una relación entre operadores. Que dos destinos compartan un paso no significa que los opere la misma persona.

06 · Recorrido de los anuncios

Seis verticales y un destino genérico

Vistas una por una parecen estafas sueltas. Lo que se observa es que casi todas llegaron por el mismo camino: publicidad paga, mostrada como "Patrocinado" en el navegador, en la pestaña Promociones de Gmail o en redes de anuncios nativos. Algunos destinos piden datos de tarjeta; otros, un teléfono; otros solo muestran contenido. No todos son fraude, y se aclara en cada caso.

07 · Patrón

Lo que comparten: un repertorio, no un servidor

• Autoridad prestada. Un diario nacional, una petrolera estatal, bancos, un broker, un organismo público, el marketplace más grande de la región.
• Verificación como escudo. El anuncio "verificado" transfiere su credibilidad al destino, aunque solo cubra al pagador.
• Promesas desproporcionadas. 450 %, 150.000 pesos convertidos en 5.000.000 por mes, apalancamiento 200:1.
• Un cobro anticipado. "Fianza", "depósito mínimo", "depositar con tarjeta".
• Una conversión que sale de la página. Chat, llamada, formulario: el daño se completa en un canal que la página no muestra.

Ese repertorio es compatible con un mercado de plantillas, afiliados y compradores de tráfico. No se pudo establecer un operador común, y la diversidad de pagadores y países sugiere lo contrario: muchos actores que compiten por las mismas víctimas con las mismas herramientas.

08 · Nivel de certeza

Qué está demostrado y qué no

09 · Impacto

A quién le pega y dónde

Usuarios. Las piezas documentadas combinan marcas conocidas, apariencia periodística y promesas de inversión. El riesgo descrito es entregar datos o avanzar hacia un pago a partir de esas señales. No se dispone de un recuento de personas engañadas.

Marcas suplantadas. El uso de su identidad plantea riesgos reputacionales y de soporte. Este informe no cuantifica reclamos, daño de marca ni participación de las entidades nombradas.

Bancos y fintech. La exposición de tarjeta, las transferencias y las llamadas posteriores son puntos para contrastar con registros propios. La investigación no confirma cargos, pérdidas, tarjetas robadas ni que una operación bancaria concreta haya sido consecuencia de los anuncios.

Plataformas publicitarias. La discrepancia observada entre dominio mostrado y destino plantea una pregunta verificable sobre ese recorrido. No demuestra por sí sola cloaking, un bypass específico ni qué vio el revisor de la plataforma.

10 · Indicadores

Indicadores de compromiso (IOCs)

Siete dominios, todos defangeados ([.]): no los visites. Para importarlos, reemplazá [.] por .. first_seen es la fecha de mi primera observación (hora de Argentina), no la de creación del dominio.

• BLOCK destinos con contenido fraudulento observado. Se pueden bloquear por FQDN.
• HUNT buscar en registros de DNS y proxy; no bloquear sin análisis propio.

11 · Técnicas

Mapeo a MITRE ATT&CK

ATT&CK se usa solo donde representa bien lo observado.

Como complemento, el MITRE Fight Fraud Framework (F3) es más adecuado que ATT&CK Enterprise para describir fraude financiero contra consumidores.

12 · Recomendaciones

Qué hacer, según el rol

13 · Método y limitaciones

Cómo se hizo y hasta dónde llega

Método

• Observación pasiva, como usuario. Anuncios mostrados en un teléfono durante dos días de uso normal (30/9 y 1/10/2026, hora de Argentina), en el navegador, en Gmail Promociones y en redes de anuncios nativos.
• Fuente del pagador. La información pública de "Mi centro de anuncios" de Google para cada anuncio: pagador declarado, ubicación y estado de verificación.
• Destinos. Solo las páginas que se abrieron al tocar el anuncio, documentadas con capturas conservadas con su hash criptográfico.
• Lenguaje de certeza. Cada afirmación se marca como observada, evaluada (con nivel de confianza) o no establecida.

Limitaciones

• Es una muestra chica: un teléfono, dos días. No mide prevalencia ni alcance.
• Desde el lado del usuario no se puede distinguir una redirección de un cloaking, ni saber qué ve otro visitante o el revisor de la plataforma.
• No hay captura del contenido del destino genérico, y no quedó registrado qué anuncio llevó al formulario con marca Balanz.
• No se establecieron relaciones técnicas entre destinos; las coincidencias de plantilla son evaluaciones de confianza moderada.
• No se sabe quién opera los destinos, si alguno comparte dueño con otro ni cuántas personas dejaron sus datos.
• Los destinos pueden rotar o cambiar de contenido después de la observación.

14 · Conclusión

La puerta de entrada, no la infraestructura

Lo documentado permite comparar puertas de entrada y técnicas de persuasión, no consolidar todos los destinos en una infraestructura atribuida. Compartir público, marca o una plantilla evaluada como similar no establece propietario, backend ni operador común.

La lectura de «mercado de tráfico» resume una hipótesis organizadora de esta muestra. No prueba que no exista una banda ni identifica cuántos operadores participaron. CASHCLOAK sigue siendo el nombre de seguimiento del estudio, no una identidad de actor.

Para reutilizar la evidencia, conservá el recorrido de cada caso, su fecha, su clasificación y lo que no pudo determinarse. Las observaciones del 30/09 y 01/10 no certifican el estado de los destinos después de esas fechas. No se unen relaciones que el informe no demuestra.

15 · Divulgación coordinada

Divulgación coordinada

16 · Cita y licencia

Cómo citar

@techreport{laterra2026cashcloak,
  author      = {La Terra, Ezequiel Jorge},
  title       = {{CASHCLOAK LATAM}: anuncios verificados y destinos de fraude
                 de inversión y de tarjeta dirigidos a usuarios argentinos},
  institution = {Cyber Threat Intelligence LATAM},
  number      = {CTI-LATAM-2026-001},
  year        = {2026},
  note        = {Edición pública v2, TLP:CLEAR},
  url         = {https://cyberthreatintelligence.lat/informe/cashcloak-latam/},
}

Licencia

Textos y datos bajo Creative Commons Atribución 4.0 Internacional (CC BY 4.0). Pueden reutilizarse y adaptarse, también con fines comerciales, citando la autoría.

Aviso

Esta publicación describe observaciones hechas como usuario y evaluaciones analíticas señaladas como tales. No atribuye responsabilidad a personas ni a empresas. Los anunciantes declarados se mencionan solo por su país y no se presumen responsables de los destinos. Las marcas y plataformas nombradas son víctimas de suplantación o proveedores de un servicio, no partes. Las correcciones se publican en el registro de correcciones con su fecha.