Cloaking: la técnica que le muestra al revisor de Meta una página distinta a la que tú ves

Todos los expedientes anteriores de este medio tienen una pregunta en común, nunca respondida del todo: si Meta revisa cada anuncio antes de publicarlo, ¿cómo pasan la revisión los anuncios de casinos sin licencia, "fondos de trading con IA" y phishing disfrazado de notificación oficial? Una parte de la respuesta es el cloaking — y esta vez no lo decimos nosotros: lo describió la propia Meta como una técnica que elude sus procesos de revisión.

Lo que Meta admitió en su propio comunicado

En febrero de 2026, Meta describió el cloaking en estos términos: una página web conectada a un anuncio aparentemente legítimo le muestra una versión de su contenido al sistema de revisión de anuncios, y una completamente distinta a los usuarios reales. El sistema de revisión ve una landing page inofensiva —una tienda, un artículo, un formulario de contacto—; la persona real que hace clic en el anuncio termina en la página que realmente vende el fraude.

En ese mismo comunicado, Meta anunció demandas contra cuatro anunciantes de estafas: dos casos en Brasil: uno con imágenes y voces alteradas de celebridades para vender productos de salud fraudulentos, y otro con deepfakes de un médico reconocido para promocionar productos de salud sin aprobación regulatoria; una empresa china que usó "celeb-bait" para estafas de inversión dirigidas a usuarios en EE.UU. y Japón; y un operador en Vietnam —el único de los cuatro casos en que Meta menciona el cloaking— que ofrecía artículos de marca con descuento a cambio de una encuesta, pedía datos de tarjeta y luego cobraba cargos recurrentes no autorizados.

Cómo funciona en la práctica

El mecanismo identifica si quien está entrando es el sistema automático de revisión (o un investigador) o un usuario real, y decide qué página mostrarle según ese perfil. Según Confiant, estos kits toman una huella del visitante para decidir si parece una víctima válida o un bot o analista. En la práctica suelen apoyarse en señales como la IP, el navegador y la ubicación; es un dato general de la industria, no de las fuentes citadas.

Un caso documentado por la firma de seguridad Confiant, una red de malvertising bautizada "SourTrade", muestra el nivel de sofisticación que alcanza esto hoy. La red corre anuncios programáticos en doce países —entre ellos Brasil y Bolivia en la región— y usa un kit de cloaking que separa el tráfico de bots y analistas del tráfico de víctimas reales: el visitante filtrado como "no víctima" ve una página blanca e inofensiva; la víctima real llega a la "money page", que suplanta plataformas legítimas y conocidas como LUNO, Solana y TradingView.

La versión más reciente de esta red, analizada por Confiant en julio de 2026, no entrega un archivo malicioso ya armado: el navegador de la víctima descarga un componente legítimo desde otra infraestructura, genera bytes localmente y ensambla el ejecutable en memoria, y un Service Worker (una función legítima del navegador pensada originalmente para cachear contenido offline) lo entrega como una descarga aparentemente normal. Según Confiant, así no circula un archivo malicioso completo por la red, lo que dificulta la detección por huella de archivo.

La escala del problema

Una investigación de Reuters sobre documentos internos de Meta —cubierta por eMarketer y otros medios— estimó que la compañía proyectaba que cerca del 10% de sus ingresos de 2024, unos USD 16.000 millones, provendrían de anuncios de estafas y productos prohibidos, con alrededor de 15.000 millones de impresiones diarias de anuncios de "alto riesgo" de ser fraudulentos.

Por qué esto cambia cómo hay que leer un anuncio

El cloaking vuelve inútil el consejo típico de "fíjate bien en la página de destino antes de hacer clic" — la página que ve un revisor, o que verías tú si investigaras el anuncio de forma obvia (por ejemplo, abriéndolo muchas veces seguidas desde la misma cuenta), puede ser exactamente la versión inofensiva. La defensa real no está en inspeccionar la landing page, sino en el comportamiento posterior: desconfiar de cualquier página que pida datos de pago, contraseñas o "verificación" inmediatamente después de llegar desde un anuncio, sin importar qué tan prolija se vea.

Si identificaste un anuncio que muestra contenido distinto según quién lo mira, o una campaña que sospechas usa esta técnica, mándanos la evidencia por el canal de alertas.

Corrección (4 de octubre de 2026): una versión anterior afirmaba que Meta reconocía el cloaking como la explicación de por qué pasan los anuncios fraudulentos; Meta solo lo describe como una técnica que elude su revisión, y lo menciona en uno de los cuatro casos. Corregimos además la descripción de la última versión de SourTrade (el navegador ensambla el archivo y un Service Worker lo entrega, según Confiant), los casos de Brasil y Vietnam, y quitamos una lista de señales técnicas que no estaba en las fuentes.