Sitios olvidados, un filón para estafadores: los dominios «de segunda mano» están de moda entre los cibercriminales

Una dirección antigua en internet puede parecer más fiable que una nueva, incluso si su anterior propietario la perdió hace tiempo. Los especialistas de Infoblox, en una serie de informes, describieron la economía descubierta alrededor de los dominios caducados. Los atacantes compran direcciones con años de historia, obtienen el tráfico residual y la confianza de los sistemas de seguridad, y luego emplean esas adquisiciones para cometer fraudes, distribuir programas maliciosos, realizar transmisiones ilegales y promover el juego.

La escala del mercado resultó enorme. En la primera mitad de 2026 Infoblox registró diariamente más de 50.000 direcciones registradas de nuevo solo en las zonas de dominio genérico, y contando las zonas nacionales la cifra se acercaba a 65.000. Alrededor del 20% de los nuevos registros en las zonas de dominio genérico correspondía a direcciones que ya habían tenido propietarios. Los dominios se liberan cuando las empresas cierran, los proyectos finalizan o caduca el pago.

El valor de una dirección antigua no reside solo en su nombre. Tras el reregistro de un dominio pueden conservarse enlaces externos, visitantes y la reputación acumulada. Los sistemas de seguridad que tienen en cuenta la edad y la historia del dominio pueden considerarlo menos sospechoso que uno totalmente nuevo. La antigua infraestructura también a veces sigue consultando el dominio, aunque el propietario ya haya cambiado.

Infoblox vinculó especialmente un esquema de gran envergadura con el grupo Sable Squirrel, que controla más de 10.000 dominios. Los especialistas confirmaron que el grupo compró aproximadamente 160 direcciones caducadas por más de $430,000, y estimaron que el gasto total del grupo en este tipo de dominios superó los $7 millones. Los dominios comprados antes pertenecían a medios de comunicación, empresas, organizaciones sin fines de lucro, proyectos deportivos y otros propietarios legítimos.

Sable Squirrel utiliza esa infraestructura para realizar transmisiones deportivas ilegales y promover el juego entre audiencias en Vietnam y otros países. No obstante, parte de esas mismas direcciones a la vez sirven a ordenadores infectados. Infoblox encontró más de 31.000 muestras de programas maliciosos que se conectaban a dominios del grupo. Entre ellas aparecían Quasar RAT, AsyncRAT, DCRat, NanoCore, Remcos, njRAT y muestras con rasgos del ransomware HiddenTear.

Otra modalidad la construyen grupos que compran dominios que antes pertenecían a otros atacantes. Los sitios comprometidos pueden albergar durante años código malicioso antiguo y seguir enviando solicitudes a ese dominio. El nuevo propietario recibe un flujo de visitantes ya preparado, sin hackear los sitios por su cuenta, y después redirige a la gente a publicidad, páginas fraudulentas o programas maliciosos. Infoblox citó entre esos operadores a Stuffy Squirrel y Shady Squirrel.

Algunas de estas estructuras funcionan durante años y se ocultan intencionadamente de las herramientas de verificación automáticas. Stuffy Squirrel opera al menos desde 2020 y controla más de 500 dominios, mientras que Shady Squirrel en 2026 redirigía a los visitantes a un soporte técnico fraudulento y luego comenzó a derivar tráfico a SocGholish. Según Infoblox, un dominio caducado hoy puede conservar no solo la reputación antigua, sino una audiencia lista, por lo que una dirección de internet olvidada puede convertirse en un activo valioso para un propietario completamente distinto.