El Mundial 2026 arranca en 10 días y los ciberdelincuentes llevan semanas desplegando webs falsas de la FIFA: cómo reconocerlas antes de perder dinero y datos

Faltan diez días para que arranque el Mundial 2026 — el mayor torneo de fútbol de la historia, con 48 selecciones y más de 100 partidos entre el 11 de junio y el 19 de julio en Estados Unidos, Canadá y México — y los ciberdelincuentes llevan semanas preparando el mayor operativo de phishing relacionado con un evento deportivo que se recuerda. La compañía de ciberseguridad ESET ha identificado una red de sitios web fraudulentos que replican con precisión casi perfecta el diseño, los menús, los flujos de compra y hasta los procesos de registro de la web oficial de la FIFA, con el objetivo de robar datos personales, contraseñas e información bancaria de aficionados que buscan entradas, merchandising o cualquier producto relacionado con el torneo. La diferencia en 2026 es la sofisticación técnica de las réplicas y la velocidad con la que se despliegan los nuevos dominios. El FBI ha emitido alertas específicas. SecurityWeek lo elige como una de las historias de la semana. Y la FIFA ha recordado oficialmente que la única plataforma de venta de entradas es FIFA.com/tickets.

‍

¿Qué está ocurriendo con las webs falsas del Mundial 2026?

Los hechos documentados por ESET, Escudo Digital, Infobae, SecurityWeek y el aviso oficial de la FIFA son los siguientes:

• ESET identificó múltiples páginas fraudulentas diseñadas específicamente para aparentar ser sitios oficiales de la FIFA o de venta de entradas del Mundial 2026. Copian colores oficiales, fotografias promocionales, menús de navegación, formularios de compra y flujos de pago.
• Los dominios detectados incorporan palabras clave como “FIFA”, “World Cup” o “Mundial 2026” acompañadas de términos de venta como “shop”, “store”, “tickets” o “official”, con extensiones sospechosas como .shop, .store o .site en lugar del .com o .org oficial. Es typosquatting a escala industrial.
• El objetivo es triple: robo de datos bancarios (número de tarjeta, fecha de caducidad, CVV) en el momento de pagar una entrada o producto que nunca llegará; robo de credenciales de cuentas (email y contraseña de acceso al portal falso que luego se reutilizan en otros servicios); y recolección de datos personales (nombre, dirección, teléfono, DNI o pasaporte) para uso en futuros ataques de ingeniería social o venta en el mercado underground.
• Los canales de distribución son principalmente redes sociales (posts orgánicos e impulsados con publicidad), mensajes privados en WhatsApp y Telegram, y correos electrónicos de phishing con ofertas de “entradas de última hora” o “productos oficiales con descuento”.
• El FBI alertó sobre la plataforma de phishing Kali365 y campañas relacionadas con el Mundial que apuntan a comprometer cuentas de Microsoft 365 mediante páginas de verificación falsas vinculadas al torneo.
• La FIFA confirmó que las entradas oficiales del Mundial 2026 únicamente pueden adquirirse a través de FIFA.com/tickets. Cualquier otro canal no es oficial.

‍

Por qué el Mundial 2026 es el mayor gancho de phishing del año

Los grandes eventos deportivos siempre generan campañas de fraude digital. El Mundial 2026 tiene características que lo convierten en el gancho más poderoso de los últimos años:

1. La escala es sin precedentes. 48 selecciones — frente a las 32 de ediciones anteriores — significa que casi la mitad del mundo tiene un equipo en el torneo. El volumen de aficionados buscando entradas, información y merchandising es global y masivo.
2. Las entradas son escasas y la urgencia es real. Las entradas para el Mundial 2026 se agotaron en horas en los canales oficiales. Eso empuja a millones de aficionados a buscar en canales no oficiales, reduciendo drásticamente el umbral de escepticismo. Un aficionado desesperado por conseguir una entrada para el partido de España está en el estado psicológico óptimo para ser víctima de una estafa.
3. La sofisticación de las réplicas supera a ediciones anteriores. Las webs falsas de 2026 no son los burdos clones de 2014 o 2018. Tienen HTTPS válido (un certificado SSL ya no significa que el sitio sea legítimo), diseño responsive, formularios de pago que procesan la transacción realmente (cargando el importe pero sin entregar ningún producto), e incluso soporte de chat falsificado.
4. La distribución vía redes sociales es masiva y barata. Un atacante puede llegar a decenas de miles de aficionados españoles con una inversión de publicidad de unos pocos euros en Meta Ads o TikTok, con creatividades diseñadas para parecer publicaciones orgánicas de la FIFA.

‍

Cómo funcionan estas estafas: del typosquatting a la ingeniería social emocional

El ciclo de un ataque de phishing de Mundial 2026 sigue este patrón:

1. Registro masivo de dominios typosquatting. Los atacantes registran docenas de dominios que incluyen “FIFA”, “Mundial” o “World Cup 2026” con pequeñas variaciones o extensiones de baja credibilidad (.shop, .store, .site). El coste es de unos pocos euros por dominio y pueden registrar cientos en horas.
2. Clonado de la web oficial. Usando herramientas de scraping, los atacantes clonan el diseño completo de FIFA.com o de la web oficial de venta de entradas, incluyendo imágenes, fuentes tipográficas, colores y estructura de menús. El resultado es visualmente indistinguible para un usuario no entrenado.
3. Activación del gancho emocional. La página falsa muestra “entradas disponibles” para los partidos más demandados (cuartos de final, semifinales, partidos de España), “offerta especial durante las próximas 2 horas” o “últimas 10 entradas disponibles”. La urgencia artificial es el elemento clave que hace que la víctima no revise la URL con cuidado.
4. Formulario de compra y robo de datos. El proceso de compra es completamente funcional: la víctima introduce sus datos personales (nombre, DNI o pasaporte, dirección) y sus datos bancarios (tarjeta, fecha, CVV). Algunos sitios incluso procesan un cargo real de importe reducido para que la víctima crea que la compra ha funcionado, mientras roban los datos de la tarjeta para usos posteriores.
5. Post-explotación. Los datos robados se venden en el mercado underground, se usan en futuros ataques de ingeniería social personalizados (“le llamamos sobre su compra de entradas del Mundial”) o se emplean en fraude financiero directo.

‍

Lecciones clave para empresas: el riesgo no es solo personal

Las estafas del Mundial 2026 parecen un problema del consumidor individual. Para las empresas, el riesgo es mayor de lo que parece:

• Los empleados compran desde dispositivos corporativos. Un empleado que accede a una web de phishing desde su portátil o móvil corporativo puede comprometer las cookies de sesión corporativas almacenadas en el navegador, las credenciales de VPN o SSO guardadas en el gestor de contraseñas del navegador, y el propio dispositivo si el sitio incluye un payload de malware (drive-by download) junto al formulario de compra.
• La reutilización de contraseñas es el vector de entrada corporativo más común. Si un empleado usa la misma contraseña en la web falsa del Mundial que en su cuenta corporativa — o si el gestor de contraseñas del navegador rellena automáticamente credenciales corporativas en el sitio de phishing —, el atacante obtiene acceso directo a los sistemas de la empresa. El DBIR 2026 que analizamos ayer confirma que las credenciales comprometidas siguen siendo uno de los vectores de entrada más prevalentes.
• Cómo verificar que un sitio es legítimo antes de comprar: verificar que el dominio sea exactamente FIFA.com/tickets (no fifa-tickets.shop ni world-cup-2026.store); comprobar que el certificado SSL pertenece a FIFA (un candado verde no garantiza legitimidad, pero el nombre del dominio en el certificado sí); desconfiar de cualquier canal no oficial que ofrezca entradas disponibles para partidos agotados; nunca acceder a webs de compra de entradas desde un enlace en redes sociales o mensaje privado — siempre escribiendo la URL directamente en el navegador.
• Qué hacer si un empleado ha caído en la trampa desde un dispositivo corporativo: notificar al equipo de seguridad de inmediato; cambiar urgentemente todas las contraseñas corporativas que puedan haber sido expuestas; revocar tokens de sesión activos; analizar el dispositivo en busca de malware; y si se han comprometido datos de tarjeta, notificar al banco de inmediato para bloquear la tarjeta.
• Aprovechar el Mundial como caso de concienciación. Los grandes eventos deportivos son el momento ideal para reforzar la formación en phishing. Un simulacro de phishing temático del Mundial (envía a los empleados una prueba interna con una web falsa de entradas) es uno de los ejercicios con mayor tasa de impacto del año.

‍

La ciberseguridad como prioridad estratégica

El phishing del Mundial 2026 no es una amenaza nueva: es la misma ingeniería social de siempre, aplicada al mayor catalizador de urgencia emocional del año. Lo que cambia en 2026 es la sofisticación técnica de las réplicas y la velocidad de despliegue de nuevos dominios, impulsada por herramientas de IA generativa que permiten a los atacantes crear webs casi perfectas en minutos. Para las empresas, el mensaje es que la concienciación no es un evento anual: es un proceso continuo que debe activarse especialmente cuando la superficie de ingeniería social se expande — y el inicio del Mundial 2026 es exactamente ese momento.

‍

Apolo Cybersecurity: concienciación, simulacros y protección frente a phishing temático

En Apolo Cybersecurity ayudamos a empresas a proteger a sus empleados y sus sistemas frente a campañas de phishing temático como las del Mundial 2026: simulacros de phishing personalizados con escenarios actuales de alta relevancia (entradas, sorteos, merchandising), formación práctica en detección de dominios falsos y typosquatting, configuración de filtros DNS y de navegación para bloquear dominios de phishing conocidos, monitorización de credenciales corporativas en el mercado underground y respuesta ante incidentes cuando un empleado cae en una trampa desde un dispositivo corporativo.

Si tu empresa tiene empleados apasionados por el fútbol — y casi todas las tienen —, los próximos 50 días son los de mayor riesgo de phishing del año. Es el momento de recordarles que la única web oficial de entradas es FIFA.com/tickets. Y de verificar que si alguien cae en la trampa desde un dispositivo corporativo, tienes el protocolo para contenerlo.

‍