Los hackers compran dominios antiguos para estafar

Hasta los sitios fantasma, desaparecidos hace tiempo del campo de visión de los usuarios corrientes, están en el punto de mira de los ciberdelincuentes actuales. Los expertos de Infoblox Threat Intel afirman que ha surgido un nuevo producto escaso en el mercado: el historial de un dominio de internet. Las direcciones antiguas, sobre todo las de buena reputación, se compran ahora al por mayor con fines turbios: tras la fachada de un recurso legítimo esconden focos de malware y proyectos fraudulentos.

Los llamados dominios dropcatch son direcciones de internet cuyos propietarios no renovaron el registro a tiempo, por lo que vuelven a estar disponibles para su compra. Es una práctica conocida desde hace mucho en el mercado de dominios: programas especializados rastrean nombres cuya caducidad se acerca para poder utilizarlos de forma rentable en la promoción de nuevos proyectos o revenderlos a coleccionistas por un precio mayor. Al fin y al cabo, un dominio antiguo ya tiene cierto peso en los buscadores y enlaces que la gente conoce.

Pero, según revela un nuevo estudio, ahora el negocio se juega a lo grande. En el primer semestre de 2026, Infoblox registró una media de 50.400 re-registros diarios de estas direcciones (si se cuentan solo los dominios «globales»; hasta 65.000 si se incluyen los nacionales). Eso supone casi una quinta parte de los registros diarios. Lideran .net y .xyz, donde casi un tercio de los nuevos propietarios recibió los dominios de sus dueños anteriores; en .com la cifra es del 24,5 %.

Sin embargo, no todas estas transacciones son tan inocentes. Los especialistas de Infoblox señalan a una insaciable «ardilla gris» (Sable Squirrel): así llama la empresa, en tono de broma, a un grupo de revendedores de dominios. Esta estructura controla más de 10.000 dominios recomprados, la mayoría integrados en una red pirata en vietnamita de retransmisiones deportivas ilegales bajo las marcas Xoilac, Cakhia, 90phut, Socolive y MiTom.

Según Infoblox, los gastos de esta «ardilla» en la compra de dominios superaron los 7 millones de dólares, un récord absoluto para un solo participante del mercado. El problema no es solo la escala, sino que algunos de estos dominios están infectados: alrededor del 4 % sirve de base para programas maliciosos y centros de mando y control de virus (C2), ocultos tras una fachada de fútbol en línea. El sistema de Infoblox detectó más de 31.000 muestras de malware vinculadas a la infraestructura de la «ardilla»: desde RAT muy populares en círculos delictivos, como Quasar, AsyncRAT, DCRat, NanoCore, Remcos y njRAT, hasta ransomware como HiddenTear. Fue fácil identificarlas gracias al descuido de los propios delincuentes: los archivos maliciosos llevaban los nombres de sus marcas en las descripciones de archivos de Windows (socolive, xoilac, 8xbet).

Curiosamente, la actividad principal de Sable Squirrel era en origen el juego, disfrazado de servicios de retransmisión. Además, la compra de dominios sirve para atraer público al juego ilegal. Las fuerzas de seguridad tampoco se quedaron de brazos cruzados: en febrero de 2026, en Vietnam, lograron congelar los activos de sitios clave y detener a treinta sospechosos; se incautaron unos 12 millones de dólares. Pero, como suele ocurrir, la red criminal sobrevivió y en verano volvió a hacerse con dominios relacionados con el Mundial de fútbol, ampliando el alcance geográfico de sus operaciones fraudulentas.

Así se libra la guerra digital actual por la atención y la confianza de los usuarios: incluso los dominios antiguos, que aparentemente ya no le interesan a nadie, se convierten en armas en manos de los ciberdelincuentes.