INTERPOL golpea la infraestructura del phishing en 13 países

La Operación Ramz dejó 201 detenidos, 382 sospechosos identificados, 53 servidores incautados y 3.867 víctimas confirmadas. La ofensiva coordinada por INTERPOL se dirigió contra redes de phishing, malware y fraude online en Oriente Medio y el norte de África. Su alcance revela algo más que una suma de arrestos: los engaños digitales funcionan como una industria transnacional, sostenida por infraestructura técnica, herramientas que se alquilan y personas que pueden ser víctimas incluso dentro de las propias redes criminales.

La operación se desarrolló entre octubre de 2025 y el 28 de febrero de 2026, con la participación de 13 países: Argelia, Baréin, Egipto, Irak, Jordania, Líbano, Libia, Marruecos, Omán, Palestina, Catar, Túnez y Emiratos Árabes Unidos. El objetivo fue desmantelar los medios que permiten repetir los fraudes, no limitarse a detener a quienes ejecutaban una parte de las estafas. Ese enfoque explica por qué el balance incluye servidores y datos de inteligencia, además de sospechosos y víctimas.

Un golpe dirigido a la infraestructura criminal

La cifra de 53 servidores incautados ayuda a entender la dimensión técnica de Ramz. Esos equipos pueden alojar páginas falsas, almacenar información robada, gestionar campañas o conectar dispositivos infectados con quienes los controlan. No todos cumplen la misma función, pero su retirada puede interrumpir varias fases del fraude a la vez. La infraestructura es el andamiaje que permite que un engaño pase de un mensaje aislado a una campaña repetible, dirigida a numerosas personas y adaptable a distintos países.

La operación también reunió y distribuyó cerca de 8.000 paquetes de inteligencia para apoyar las investigaciones. En un delito que deja rastros repartidos entre dominios, cuentas, servidores y dispositivos, cruzar esos datos permite vincular hechos que, vistos por separado, podrían parecer incidentes menores. El número de arrestos ofrece una medida visible del operativo, pero el análisis técnico puede aportar pistas sobre colaboradores, víctimas y nuevas conexiones. Desactivar un servidor no equivale a borrar una red completa; sí puede revelar cómo estaba organizada y qué otras piezas dependían de ella.

INTERPOL presentó Ramz como una acción coordinada de gran escala en la región. La colaboración entre países importa porque una campaña puede alojarse en un territorio, suplantar a una entidad de otro y afectar a personas en varios más. Las fronteras que delimitan las jurisdicciones policiales no coinciden con las rutas que sigue la información en internet. Por eso, compartir inteligencia y coordinar registros e investigaciones resulta esencial para seguir el rastro digital antes de que los operadores cambien de servidor, dominio o método.

El phishing ya no necesita grandes conocimientos técnicos

El phishing consiste en hacerse pasar por una entidad o persona de confianza para conseguir datos, acceso a cuentas o dinero. Puede llegar mediante un correo, un mensaje de texto o una página que imita un servicio legítimo. La forma ha cambiado desde los mensajes burdos de antaño: hoy una web puede copiar colores, logotipos y formularios, mientras el texto aprovecha una situación cotidiana, como una entrega pendiente o una cuenta que supuestamente necesita verificación. La apariencia normal es parte del engaño, no una señal de que el mensaje sea inocuo.

Uno de los casos detectados en Argelia muestra cómo se ha reducido la barrera técnica. Las autoridades desmantelaron una plataforma de phishing como servicio y detuvieron a un sospechoso. Estos sistemas ofrecen herramientas preparadas para que otros delincuentes puedan lanzar campañas sin construir desde cero cada página o mecanismo de captura. Pueden incluir plantillas, paneles y programas para recopilar credenciales. El proveedor monta parte de la maquinaria y el usuario criminal la utiliza; así, una misma plataforma puede servir a distintas campañas y ampliar el número de posibles atacantes.

Este modelo no convierte automáticamente a cualquier usuario en un ciberdelincuente experto, pero sí facilita tareas que antes exigían más conocimientos. La especialización queda repartida: unos crean o mantienen las herramientas, otros atraen a las víctimas y otros se ocupan de los datos o el dinero. Esa división permite que el engaño se repita con cambios de marca, idioma o contexto. La página falsa puede imitar a un banco un día y a una empresa de mensajería al siguiente, mientras la estructura que recoge la información permanece en manos de los mismos operadores.

De una credencial robada al control de un dispositivo

El phishing puede limitarse a robar una contraseña, pero también abrir la puerta a operaciones más amplias. Si la víctima introduce sus datos en un formulario falso, los delincuentes pueden intentar utilizarlos para entrar en sus cuentas o preparar nuevos engaños. El malware, por su parte, puede comprometer un dispositivo y permitir que se use para fines que su propietario desconoce. Un ordenador o un teléfono pueden pasar de ser el objetivo del ataque a convertirse en una pieza de la operación, sin que la persona que los usa advierta el cambio.

En Catar, las autoridades trabajaron para asegurar dispositivos comprometidos que estaban siendo utilizados para propagar software malicioso. En Omán, desactivaron un servidor vulnerable e infectado que contenía información sensible. Son situaciones diferentes, pero ambas muestran que el fraude no depende solo de mensajes falsos enviados a usuarios. También puede apoyarse en equipos y servidores expuestos o infectados. La actividad visible en la bandeja de entrada es apenas una parte de la cadena: detrás pueden existir recursos técnicos que mantienen el ataque activo.

En Marruecos, la investigación condujo a la incautación de ordenadores, teléfonos inteligentes y discos duros externos con datos bancarios y programas vinculados a operaciones de phishing. Tres personas quedaron bajo procedimiento judicial y otras seguían bajo investigación. La presencia de información financiera ilustra cómo un dato capturado puede adquirir valor para los delincuentes, aunque por sí solo no explique el recorrido posterior del dinero ni el alcance total del daño. Los 3.867 afectados identificados son víctimas confirmadas, no necesariamente el recuento definitivo de todas las personas alcanzadas por las campañas.

La cifra de víctimas no cuenta toda la historia

Los investigadores analizaron casi 8.000 paquetes de inteligencia y localizaron al menos 3.867 víctimas confirmadas. Es un balance sustancial, pero las cifras de fraudes digitales suelen describir lo que se ha podido descubrir y verificar durante una investigación. Algunas personas no reconocen que sus datos han sido robados; otras pueden no denunciar por vergüenza, por desconocer dónde hacerlo o porque creen que no recuperarán lo perdido. La diferencia entre víctimas identificadas y víctimas reales puede ser importante, aunque los datos disponibles no permiten calcularla con precisión.

Además, una misma campaña puede dejar consecuencias distintas. Alguien puede entregar sus credenciales sin sufrir una pérdida inmediata, mientras que otra persona puede detectar movimientos no autorizados o perder dinero en una estafa de inversión. También es posible que la información robada se reutilice más tarde o se combine con datos obtenidos por otros medios. Por eso, contar víctimas y casos no basta para describir el daño: hay que saber qué información quedó expuesta, qué cuentas fueron afectadas y si los datos siguen circulando.

La incautación de dispositivos y servidores puede ampliar la investigación con el tiempo. El examen de los equipos puede revelar contactos, herramientas, cuentas y registros que no eran visibles durante las primeras actuaciones. Eso no significa que cada elemento incautado vaya a producir nuevas detenciones ni que todos los datos puedan asociarse de inmediato a una víctima concreta. El balance de una operación es una fotografía tomada en un momento determinado; las pesquisas posteriores pueden completar algunos puntos, pero también dejar interrogantes abiertos.

Jordania expone el lado humano de las redes

Uno de los episodios más inquietantes de Ramz se produjo en Jordania, donde se investigaba una estafa de inversión que utilizaba una plataforma aparentemente legítima. Las víctimas ingresaban dinero en una operación que prometía oportunidades de inversión, mientras el fraude se ejecutaba desde un ordenador localizado por las autoridades. El caso dio un giro cuando los investigadores encontraron a 15 trabajadores procedentes de Asia que, según la información de la operación, habían sido obligados a participar en las estafas. Dos presuntos organizadores fueron detenidos.

Los trabajadores habrían sido captados con falsas promesas de empleo y, una vez trasladados, habrían sufrido la retirada de sus pasaportes y coacciones para ejecutar fraudes. Así, el caso no presenta una división sencilla entre delincuentes y víctimas. Las personas que mantenían las conversaciones con quienes invertían podían estar sometidas a explotación y actuar bajo presión. La víctima del fraude podía estar al otro lado de la pantalla, pero también dentro del lugar desde el que se operaba.

Esta dimensión obliga a mirar el cibercrimen más allá de contraseñas y programas maliciosos. El fraude puede estar conectado con explotación laboral y trata de personas, aunque la información disponible sobre este caso no permite generalizar sobre todas las redes investigadas. La tecnología aporta canales para captar víctimas y mover información; las estructuras humanas siguen siendo decisivas para sostener ciertas operaciones. Cuando una investigación identifica a personas coaccionadas, distinguir su papel y su grado de libertad resulta central para comprender la trama, no un detalle secundario del operativo.

La cooperación técnica amplía el alcance policial

INTERPOL coordinó la operación con organismos policiales de los países participantes y contó con apoyo de empresas y entidades especializadas, entre ellas Group-IB, Kaspersky, The Shadowserver Foundation, Team Cymru y TrendAI. La colaboración público-privada aporta información técnica que puede ayudar a identificar servidores, dominios, cuentas comprometidas y señales de malware. Las autoridades, a su vez, pueden vincular esos indicios con investigaciones y actuaciones judiciales. La cooperación no reemplaza el trabajo policial: amplía la capacidad para encontrar rastros que atraviesan redes y países.

Parte de esa información se refiere a la actividad detectada antes o durante las pesquisas. Kaspersky aportó datos sobre infraestructura maliciosa regional, incluidos servidores de mando y control asociados a malware. Group-IB comunicó información sobre más de 5.000 cuentas comprometidas y actividad de phishing en la zona, algunas relacionadas con infraestructura gubernamental. Estos hallazgos no deben confundirse con el total de víctimas confirmadas de la operación: describen indicadores y cuentas detectadas por el análisis técnico, no necesariamente personas afectadas de forma única.

El ritmo del cibercrimen añade dificultad. Los dominios pueden desaparecer, los servidores cambiar y los mismos recursos reutilizarse con una apariencia distinta. Una investigación necesita preservar pruebas y relacionarlas entre sí, mientras los operadores intentan ocultar sus huellas o trasladar la actividad. El intercambio de información permite comparar señales que una sola entidad quizá no habría conectado. La escala internacional de Ramz responde a una realidad operativa: buena parte de la evidencia y de las consecuencias de un fraude puede estar distribuida entre varias jurisdicciones.

Por qué una operación regional importa fuera de la región

Ramz se centró en Oriente Medio y el norte de África, pero las técnicas observadas no están limitadas a esos países. Una página fraudulenta puede imitar a un banco o a una empresa de cualquier lugar, y los mensajes pueden circular por canales digitales que no respetan fronteras. En España también se reciben comunicaciones que se hacen pasar por bancos, empresas de paquetería, organismos públicos o plataformas online. El escenario geográfico de una operación no delimita quién puede verse afectado por el mismo tipo de fraude.

La lección para las empresas tampoco se reduce a grandes corporaciones. Los mensajes fraudulentos pueden dirigirse a empleados, departamentos financieros, proveedores o directivos, con el propósito de robar accesos o inducir pagos. Una contraseña comprometida puede facilitar nuevos intentos de entrada, y una factura falsa puede aprovechar una relación comercial real. Las campañas se adaptan al contexto para resultar verosímiles. El engaño suele funcionar mejor cuando se mezcla con una tarea rutinaria que cuando aparece como una amenaza evidente y extravagante.

Esto no significa que todo correo extraño esconda una organización internacional ni que cada fraude siga el mismo patrón. El valor de Ramz está en mostrar que algunas redes sí reúnen herramientas, datos, infraestructura y personas en distintos lugares. Para el usuario, la apariencia de normalidad merece atención: revisar el dominio antes de introducir datos, evitar acceder a servicios financieros desde enlaces recibidos y utilizar sus canales oficiales reduce la exposición, aunque ninguna medida garantice por sí sola que un ataque no tenga éxito.

La prevención depende también del diseño de los sistemas

La respuesta al phishing no puede descansar únicamente en que cada persona detecte todos los mensajes falsos. Los usuarios reciben comunicaciones mientras trabajan, viajan o atienden otras tareas, y los delincuentes aprovechan precisamente esa falta de atención sostenida. Las organizaciones pueden reducir riesgos mediante controles de acceso, filtros de correo, protocolos para validar pagos o cambios de cuentas y formación que refleje situaciones reales. La seguridad mejora cuando no depende de una atención perfecta durante toda la jornada.

Para las personas, ayudan hábitos sencillos: comprobar la dirección web, no entregar claves desde enlaces inesperados y mantener actualizados los dispositivos. La autenticación de varios factores añade una barrera, aunque el nivel de protección depende de cómo se implemente y no convierte una cuenta en invulnerable. Usar contraseñas diferentes también limita el efecto de una filtración en un servicio. Son medidas que reducen oportunidades para los atacantes, no una promesa de protección absoluta.

La reacción ante un incidente también importa. Si se sospecha que una cuenta o un dispositivo está comprometido, conviene contactar con las entidades afectadas por canales oficiales y preservar la información relevante para las gestiones correspondientes. En las empresas, revisar accesos y sistemas puede ayudar a determinar si el incidente se ha extendido. La respuesta concreta depende de lo ocurrido y puede requerir asistencia técnica, financiera o legal. La prevención reduce el riesgo, pero no elimina la necesidad de investigar los daños cuando el engaño ya ha tenido efecto.

Un avance importante, no el final del fraude

La Operación Ramz golpeó una infraestructura que servía para phishing, malware y estafas financieras, y permitió identificar miles de víctimas y centenares de sospechosos. El resultado es relevante porque no se limitó a perseguir las consecuencias visibles: incluyó servidores, dispositivos, datos y herramientas que podían sostener nuevas campañas. El principal mensaje de la redada es que el fraude digital tiene organización y logística, aunque cada víctima solo vea un correo, una página o una conversación aparentemente corriente.

Pero retirar servidores y detener sospechosos no equivale a eliminar el mercado criminal. Las herramientas pueden reconstruirse, los operadores pueden cambiar de métodos y los datos robados pueden seguir teniendo utilidad después de una intervención. La operación tampoco permite afirmar que todas las redes de la región hayan sido desmanteladas ni que las víctimas identificadas representen el impacto completo. Una redada interrumpe actividad y abre líneas de investigación; no borra automáticamente las condiciones que hacen rentable el engaño.

El balance de Ramz dibuja, en definitiva, un problema que combina software, servidores, información financiera y vulnerabilidad humana. Su alcance se mide tanto por las detenciones como por la capacidad de comprender las conexiones que mantenían en pie las estafas. La lucha contra el phishing exige cooperación entre países, investigación técnica y protección de quienes quedan atrapados en estas tramas, incluidos los trabajadores coaccionados. El golpe puede cerrar algunas puertas, pero el desafío está en impedir que la misma maquinaria vuelva a abrirse bajo otro nombre.