Brasil apagó las 'bets' el 6 de octubre: R$ 1.320 millones siguen en cuentas, las devoluciones van del 9 al 14 y Kaspersky advierte de estafas
El gobierno de Lula publicó el 25 de septiembre la Medida Provisoria 1.394/2026, que prohíbe las apuestas de cuota fija, y las bets salieron del aire el 6 de octubre. Al cerrar el plazo de retiro quedaban unos R$ 1.320 millones en cuentas de apostadores; los bancos devuelven el dinero del 9 al 14 de octubre. Kaspersky advierte de sitios clonados, falsas 'tasas de liberación', apps maliciosas y VPN falsas; el 'saque fantasma' ya muestra el guion.
Brasil llegó a la primera vuelta con 920 contenidos hechos con IA, 554 deepfakes y 'electores' que no existen
El proyecto VigIA de la Agência Lupa contó 920 imágenes y videos electorales hechos o alterados con IA entre el 16 de agosto y el 28 de septiembre, 554 de ellos deepfakes. Aos Fatos halló además al menos 50 videos de TikTok que simulan entrevistas a votantes que no existen. Separamos lo que está medido, las reglas del TSE y lo que no se sabe.
Leer expediente→Brasil prohibió la publicidad de las bets el 25 de septiembre; el Ciberlab halló anuncios en Meta, Google y Telegram en los días siguientes
Tras la Medida Provisoria 1.394/2026, un informe técnico del gobierno brasileño del 27 de septiembre identificó 7 anuncios de apuestas en Meta, cerca de 1.900 en Google y 43 canales de Telegram con unos 212.600 miembros. Explicamos qué prueba ese informe, qué no y qué plazos tienen las plataformas.
Leer expediente→Dos países, dos formas de perseguir las apuestas ilegales: Chile bloquea dominios por orden judicial, Perú también desactiva los medios de pago
Entre el 1 de septiembre y el 2 de octubre de 2026, Chile ordenó bloquear por DNS 42 sitios de apuestas y, tres semanas después, 37 espejos y subdominios; Perú bloqueó 50 plataformas y deshabilitó sus medios de pago. Comparamos los dos métodos, qué se sabe de su eficacia y qué no.
Leer expediente→Secuestraron la cuenta oficial de Microsoft en X para empujar un token con Clippy: '500.000 likes y lo traemos de vuelta'
El jueves 1 de octubre, atacantes tomaron el control de la cuenta de Microsoft en X (más de 13 millones de seguidores), cambiaron su foto por la de Clippy y promovieron un token '$Clippy' cuya cuenta impostora aseguraba tener un pool de liquidez 'emparejado con $MSFT'. Microsoft confirmó el acceso no autorizado y negó cualquier vínculo con el token; todavía no explica cómo entraron.
Leer expediente→Le subieron una foto falsa a su ficha de Google con otro teléfono — pensada para que sus clientes llamen a un estafador, no a su negocio
Una cuenta de Google Maps acumulaba más de 150 contribuciones de fotos a negocios sin relación entre sí en Estados Unidos, con un número de teléfono incorrecto superpuesto en las imágenes, pensadas para desviar las llamadas de quienes creen contactar al negocio real. No es un caso aislado: en 2023 el mismo esquema, con otro método, afectó las fichas de Google de aerolíneas como Delta y American Airlines.
Leer expediente→Antes de estafarte, una página de Facebook puede esperar 'dormida' el momento: Meta desactivó 3,6 millones de páginas fantasma en un mes
Meta reveló que, solo en julio de 2026, actuó contra más de 3,6 millones de 'páginas fantasma': páginas que parecen vacías e inofensivas, sin anuncios ni contenido infractor, pero que los estafadores ya tenían listas para activarse 'en cualquier momento' en una campaña. El dato salió en un balance de su colaboración de dos años con la Policía de Singapur, que en el primer semestre de 2026 llevó a dar de baja más de 113.000 cuentas, páginas y contenidos vinculados a fraude.
Leer expediente→Curazao Papers: un casino online no autorizado apostó US$113 millones en Chile en 2024, según sus propios documentos
Los 'Curazao Papers' —una filtración de decenas de miles de documentos de la autoridad de juego de Curazao (más de 40.000 según Chócale; 84.000 según BioBioChile)— muestran cifras internas de operadores no autorizados en Chile. Estelarbet declaró US$113,3 millones apostados en 2024 y proyectaba pasar su gasto en marketing del 8,3% al 29,1% de sus ingresos brutos de juego en un año. Los 'US$48 diarios' que circulan son volumen apostado, no dinero gastado ni perdido.
Leer expediente→Una alerta falsa de que tu cuenta de Zoom será desactivada ya acumula más de 1.000 correos maliciosos detectados, también contra empresas de América Latina
Kaspersky detectó una campaña de phishing que suplanta a DocuSign y Zoom para robar credenciales corporativas, incluidas cuentas en América Latina, con más de 1.000 correos maliciosos detectados hasta el 11 de septiembre (la cifra corresponde a toda la operación). La campaña evolucionó de suplantar a DocuSign a advertir sobre una supuesta desactivación de cuenta de Zoom, para generar urgencia.
Leer expediente→Operación Blackout: el FBI liberó a casi 2.000 personas forzadas a estafar e incautó bitcoin por más de US$8.000 millones
El FBI presentó el 28 de mayo de 2026 la 'Operación Blackout' contra centros de estafa en Camboya, Myanmar, Tailandia y Dubái: casi 300 arrestos, cerca de 2.000 personas traficadas liberadas y bitcoin incautado valorado en unos US$8.000 millones hoy (posiblemente más de US$15.000 millones al momento de la incautación). Desde entonces las cifras se han actualizado varias veces —la más reciente, de fines de septiembre, habla de US$17.000 millones incautados o restringidos—, así que conviene comparar fechas antes de citar un número.
Leer expediente→Por $1.500 más $500 al mes se rentaba el kit de phishing que se metió en 12.000 bandejas de entrada corporativas
Microsoft documentó EvilTokens, una plataforma de 'phishing como servicio' que por una cuota inicial de $1.500 dólares y $500 mensuales ofrecía plantillas listas, páginas falsas y un asistente de IA para redactar el señuelo. Comprometió más de 12.000 bandejas de entrada en más de 10.000 organizaciones, con la mayor actividad en seis países, explotando un mecanismo legítimo de inicio de sesión que no depende de robar ninguna contraseña.
Leer expediente→Un casino ilegal no necesita hackear un medio de noticias para camuflarse en él — solo necesita pagarle
Una investigación en Chile documentó cómo casas de apuestas ilegales ofrecen a medios digitales locales pagos que, según el director de uno de ellos, podrían llegar a 2 millones de pesos semanales, para insertar contenido promocional camuflado de noticia real, mientras compañías registradas en paraísos fiscales patrocinan las camisetas de los 16 clubes de Primera División. Cuando la autoridad de telecomunicaciones bloquea sus dominios, varios reaparecen en espejos idénticos.
Leer expediente→Un tribunal alemán le tumbó a Meta la defensa que usa en todo el mundo para no responder por sus anuncios de estafa
El Tribunal Regional de Fráncfort resolvió que Meta es responsable de anuncios fraudulentos que usaron el logo de un portal financiero alemán sin permiso, rechazando el argumento de que la empresa solo 'aloja' contenido de terceros. El fallo no es firme y Meta puede recurrirlo; mientras tanto, la propia empresa admite haber retirado 159 millones de anuncios de estafa en un solo año y enfrenta demandas por el mismo problema en Estados Unidos.
Leer expediente→El cable espía que roba tus datos existe de verdad — el que dicen que te van a dejar tirado en la calle, no tanto
Circula una alerta que advierte no levantar cables USB abandonados en la calle porque podrían robarte contraseñas. La tecnología detrás —un cable de carga con un chip espía adentro— es real y está bien documentada. Lo que no hay son casos públicos confirmados de alguien infectado así. Separamos lo verificable de lo que es puro rumor reciclado.
Leer expediente→El código QR de la multa que tienes pegada en el parabrisas puede ser el robo, no la infracción
El phishing con códigos QR —'quishing'— creció 146% en un solo trimestre según Microsoft, y ya no vive solo en tu bandeja de entrada: en Costa Rica autoridades y municipalidades alertaron sobre avisos de multa de estacionamiento falsos, con un código QR, dejados bajo el limpiaparabrisas. Así funciona el mecanismo, en su versión digital y en su versión física.
Leer expediente→Un carácter que no puedes ver rompe la palabra "funding" para colarse en tu bandeja de entrada
Microsoft documentó una campaña de phishing financiero que llegó a 2.3 millones de correos en un solo día, usando una técnica que nació en los ataques contra inteligencia artificial: caracteres Unicode invisibles que rompen una palabra por dentro sin que se note a simple vista, pero que bastan para esquivar cualquier filtro que busque coincidencias exactas.
Leer expediente→Te piden una "transacción de prueba" para liberar tu retiro — es el momento exacto en que te vacían la wallet
La Policía Nacional y el SBU de Ucrania desarticularon una red que usaba plataformas de inversión con dashboards falsos para captar víctimas en más de 20 países. El robo real no pasaba por el trading fingido: pasaba por una 'transacción de prueba' que, al firmarla, entregaba el control de los activos de la wallet a un drainer.
Leer expediente→Un futbolista pidiendo entrar a un grupo de apuestas no es prueba de amaño: es una señal de alerta que la liga debe revisar
Un tipster de apuestas acusó públicamente a un jugador de la Liga de Expansión MX de insistir durante más de un año en entrar a sus grupos privados de pronósticos. Más allá del caso puntual, los reglamentos de la FMF y la FIFA prohíben a los futbolistas apostar en fútbol. Un señalamiento en redes no prueba nada, pero sí justifica una revisión formal.
Leer expediente→El 2FA no te protege de esto: así te roba la sesión un kit de phishing que se alquilaba desde $120
Tycoon2FA no te roba la contraseña: te roba la sesión completa, después de que ya pasaste la verificación en dos pasos. Microsoft documentó cómo este kit de phishing-como-servicio operó a escala de decenas de millones de mensajes mensuales antes de que lo tumbaran junto con Europol en marzo de 2026 — y, según eSentire, cómo volvió semanas después.
Leer expediente→La multa de tránsito que te llega por SMS no es del gobierno: se parece a la operación de phishing que actúa en al menos 121 países
La SSPC de México alertó sobre SMS de 'multas de tránsito' que en realidad son phishing. Se parece a una operación de phishing-como-servicio documentada globalmente (Smishing Triad, al menos 121 países), con kits que llegaron a mapear más de 20.000 dominios, mensajería cifrada para evadir filtros y suscripciones mensuales; la SSPC no atribuye el caso mexicano a ningún grupo.
Leer expediente→El FBI advirtió que usan perfiles falsos y deepfakes de altos funcionarios del FBI para re-estafar a víctimas de fraude cripto
Una alerta oficial del FBI (julio 2026) describe bandas que crean perfiles falsos del FBI en Facebook —y contactan por Messenger y Telegram— y videos con deepfakes de altos funcionarios, para contactar a gente que ya perdió dinero en una estafa cripto, ofreciendo 'recuperar los fondos' a cambio de un pago. Es exactamente el tipo de audiencia que lee este sitio.
Leer expediente→Cloaking: la técnica que le muestra al revisor de Meta una página distinta a la que tú ves
Meta reconoció en su propio comunicado que anuncios de estafa usan 'cloaking' para mostrarle una versión inofensiva de la página al sistema de revisión y otra completamente distinta al usuario real. Una investigación de Confiant encontró una red activa de publicidad programática (no específicamente en Meta) con esta técnica apuntando, entre otros países, a Brasil y Bolivia.
Leer expediente→El correo que dice que tu cuenta publicitaria se suspende en 24 horas es falso — y sigue circulando
Recibimos directamente uno de estos correos: remitente falso, asunto que imita una 'verificación de identidad' de Meta y un plazo de 24 horas para presionar al que administra la cuenta. No es un caso aislado: medios de verificación de Argentina y España han documentado variantes del mismo engaño.
Leer expediente→Las cuentas de Meta Ads con historial son un botín: cómo las atacan y cómo protegerlas
Las cuentas publicitarias de Meta con años de gasto real son más valiosas para un atacante que una cuenta nueva. Resumimos qué documentan Huntress y TechRadar sobre cómo se roba el acceso al Business Manager y qué hacer para protegerlo.
Leer expediente→Los 'tipsters' de Telegram: cómo muestran solo sus aciertos para simular una efectividad que no existe
Perfiles que prometen pronósticos deportivos con altísima efectividad muestran capturas únicamente de ganancias y se apoyan en reseñas y testimonios falsos, mientras algunos tipsters cobran de casas de apuestas por cada jugador que atraen. Qué documentan Maldita.es, Sector del Juego y Telecinco y qué señales revisar antes de pagar.
Leer expediente→16 influencers, un acuerdo con la Fiscalía y el negocio de $70 millones detrás de las apuestas ilegales en redes
La Fiscalía de la Ciudad de Buenos Aires cerró en julio de 2025 acuerdos de reparación simbólica con 16 influencers —entre ellos Wanda Nara y L-Gante— investigados por publicitar apuestas sin licencia. El mercado clandestino que los contrata mueve más de USD 70 millones al año solo en Argentina.
Leer expediente→'Pig butchering': la estafa de más de USD 75.000 millones que, según la ONU, se extiende a LatAm
UNODC y la Unión Europea advirtieron en julio de 2026 que los 'centros de estafa' de pig butchering, antes concentrados en el sudeste asiático, se están extendiendo a Latinoamérica y el Caribe. Un estudio de la Universidad de Texas estimó en más de USD 75.000 millones los fondos que estas redes movieron a nivel global entre 2020 y febrero de 2024.
Leer expediente→Así operan (y así caen) los 'fondos de trading con IA' que prometen rendimiento fijo mensual
El regulador de mercados de EE.UU. ya advirtió sobre el patrón: plataformas que dicen operar con 'inteligencia artificial propietaria' y prometen un rendimiento fijo mensual, sostenidas con dinero de nuevos inversores captados vía anuncios pagados.
Leer expediente→Pilares de investigación
Fraude en Meta Ads
Cuentas publicitarias comprometidas, clonación de marcas, anuncios fantasma y las fallas de moderación que Meta no reconoce en público.
Ver expedientes→iGaming y Apuestas
Casas de apuestas sin licencia, bonos imposibles de cobrar y el embudo publicitario que empuja apuestas ilegales a usuarios latinoamericanos.
Ver expedientes→Estafas de Inversión y Cripto
Esquemas piramidales, trading falso y "gurús" financieros que reclutan víctimas a través de campañas pagadas en redes sociales.
Ver expedientes→Phishing y Suplantación
Correos, SMS, RCS e iMessage que suplantan bancos, gobiernos y plataformas reales para robar credenciales y datos de pago — la infraestructura técnica detrás del engaño.
Ver expedientes→