Investigadores han documentado una campaña de larga duración que utiliza páginas CAPTCHA falsas para engañar a los usuarios de dispositivos móviles y lograr que envíen decenas de mensajes SMS internacionales en segundo plano.
Si has pasado algún tiempo en la web actual, los CAPTCHA pueden parecerte algo común: pulsar un par de semáforos, demostrar que eres humano y listo. Sin embargo, los estafadores han aprendido a explotar esta práctica en campañas de ClickFix, donde engañan a las víctimas para que infecten sus propios ordenadores.
Recientemente, sin embargo, los investigadores descubrieron una variante en la que la frase "demuestra que eres humano" se transforma sutilmente en "inflar tu factura telefónica internacional". La investigación describe una campaña de fraude de reparto de ingresos internacionales (IRSF, por sus siglas en inglés) . El IRSF, también conocido como fraude de manipulación de SMS, abusa de las complejas estructuras de precios de las llamadas internacionales y el tráfico de SMS para generar ingresos inflando el volumen de mensajes a destinos específicos.
En lugar de instalar software malicioso en el dispositivo de la víctima, la estafa aprovecha el funcionamiento de las redes de facturación y afiliación de las compañías de telecomunicaciones, convirtiendo el tráfico web ordinario en ingresos por SMS de alta calidad para los ciberdelincuentes.
Cómo funciona
El flujo típico de esta estafa se ve así:
- Las víctimas llegan a través de publicidad maliciosa o redirecciones TDS, a menudo desde dominios de telecomunicaciones con errores tipográficos , a una página que parece un CAPTCHA básico de selección de imágenes o un cuestionario.
- Para “continuar”, se les pide que pulsen un botón que abre su aplicación de SMS con un mensaje y una lista de destinatarios predefinidos.
- No se trata de un solo SMS a un solo número. El CAPTCHA falso consta de varios pasos, y cada mensaje está preconfigurado con más de una docena de números internacionales en 17 países conocidos por sus altas tarifas de terminación, entre ellos Azerbaiyán, Myanmar y Egipto.
En un plan de consumo típico, eso puede traducirse en aproximadamente 30 dólares en cargos por SMS internacionales por persona, y una parte de los gastos de cancelación regresa al atacante a través de acuerdos de reparto de ingresos.
Para evitar que simplemente te retires, las páginas utilizan un mecanismo de secuestro del botón de retroceso. JavaScript reescribe el historial del navegador y te redirige a la estafa cuando intentas salir. Los investigadores también descubrieron que la campaña estaba conectada a una red de afiliados al estilo Click2SMS que anuncia "todo tipo de tráfico permitido" y facturación a través del operador, lo que en la práctica convierte a IRSF en otra opción de monetización para editores poco éticos.
Esta operación estafa tanto a particulares como a compañías de telecomunicaciones. Las víctimas se enfrentan a cargos inesperados por SMS premium en sus facturas y pueden tener dificultades para identificar la causa. Las compañías pagan una parte de los ingresos a los responsables y pueden sufrir pérdidas por reclamaciones de clientes o devoluciones de cargo.
Protección móvil, en cualquier lugar y en cualquier momento .
Cómo protegerse
Nunca envíes un SMS para “demostrar que eres humano”. Los CAPTCHA legítimos se ejecutan completamente en tu navegador. No abrirán tu aplicación de SMS ni la de llamadas.
Revisa tu factura de móvil con regularidad para detectar pequeños cargos por SMS internacionales desconocidos, no solo picos elevados. Si ves algo sospechoso, reclámalo rápidamente y pide a tu operador que bloquee los SMS internacionales o de tarificación adicional si no los necesitas.
Utilice una aplicación de protección móvil que bloquee sitios web maliciosos conocidos, como estos dominios involucrados en esta campaña:
sweeffg[.]onlinecolnsdital[.]comzawsterris[.]commegaplaylive[.]comruelomamuy[.]com
![Malwarebytes Bloquea ruelomamuy[.]com](https://www.malwarebytes.com/wp-content/uploads/sites/2/2026/04/ruelomamuycomblock.png)
Los estafadores saben más de ti de lo que crees.
Malwarebytes Mobile Security Te protege del phishing, mensajes de texto fraudulentos, sitios web maliciosos y mucho más. Incluye protección anticams con inteligencia artificial en tiempo real.
