💻 computer science

Uncovering Black-hat SEO based fake E-commerce scam groups from their redirectors and websites

Este estudio analiza un conjunto de datos de 692.865 sitios falsos de comercio electrónico recopilados por el Centro Japonés de Control del Ciberdelito entre mayo de 2022 y diciembre de 2024 para identificar y rastrear a 17 grupos de actores de amenazas que utilizan técnicas de SEO de sombrero negro para redirigir a las víctimas a estafas en línea.

Autores originales: Makoto Shimamura, Shingo Matsugaya, Keisuke Sakai, Kosuke Takeshige, Masaki Hashimoto

Publicado 2026-03-31

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Makoto Shimamura, Shingo Matsugaya, Keisuke Sakai, Kosuke Takeshige, Masaki Hashimoto

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

¡Claro que sí! Imagina que este artículo es como un reporte de detectives privados que han estado vigilando un mercado digital muy peligroso. Aquí te explico qué hicieron, cómo lo hicieron y qué descubrieron, usando analogías sencillas.

🕵️‍♂️ El Problema: El Mercado Falso y los "Espejos Mágicos"

Imagina que hay un mercado gigante en internet donde la gente compra cosas. Pero, hay un grupo de estafadores que ha construido tiendas falsas (llamadas "fake EC sites") para robarte el dinero o tus datos.

El truco que usan es muy astuto:

El Gancho (SEO Black-Hat): En lugar de construir su tienda en un lugar visible, hackean sitios web legítimos y seguros (como un blog de recetas o una página de noticias).
El Espejo Mágico (Redireccionador): Cuando tú buscas algo en Google (por ejemplo, "zapatos baratos"), el sitio hackeado actúa como un espejo mágico. Si vienes de Google, el espejo te muestra una página falsa de zapatos. Pero si entras directamente al sitio, ves el blog de recetas normal.
La Trampa: Una vez que caes en la tienda falsa, te piden que compres. Si pagas, ¡te roban el dinero!

🔍 La Misión de los Detectives

Los autores de este estudio (expertos de Trend Micro y la policía de Japón) querían responder a una pregunta grande: ¿Cuántos grupos de estafadores diferentes hay detrás de todo esto?

Antes, intentaban rastrearlos buscando el "software malicioso" (el virus) que usaban. Pero era como intentar encontrar a un ladrón solo buscando sus huellas dactilares en un edificio gigante; a veces no encontraban todas las huellas y se les escapaban muchos ladrones.

Esta vez, decidieron cambiar de estrategia. En lugar de buscar el virus, decidieron rastrear a los dueños de las tiendas falsas mirando sus "huellas digitales" en la web.

🧩 La Estrategia: Unir los Puntos (Como un Rompecabezas)

Para encontrar a los grupos, usaron una herramienta llamada Maltego (imagina un tablero de detective con hilos rojos conectando fotos). Buscaron tres tipos de "huellas" que los estafadores dejaban en sus tiendas falsas:

El Correo Electrónico: ¿Usan la misma dirección de email para registrarse en varias tiendas? (Como usar la misma tarjeta de identidad).
El Contador de Visitas (Matomo/51.la): Las tiendas usan servicios para contar cuánta gente entra. Si 50 tiendas usan el mismo contador, probablemente pertenecen al mismo dueño.
El Código de Análisis: Un identificador único que usan para ver estadísticas.

La Analogía del Club:
Imagina que tienes una fiesta. Si ves que en 100 casas diferentes hay gente usando la misma lista de invitados, el mismo tipo de música y la misma marca de refrescos, ¡seguro que todas esas fiestas son organizadas por el mismo grupo de amigos!

📊 Lo que Descubrieron (Los Resultados)

Analizaron casi 700,000 tiendas falsas recolectadas durante dos años y medio. Fue como revisar una montaña de papeles.

El Gran Filtrado: Al principio, encontraron más de 1,000 grupos posibles. Pero muchos eran muy pequeños (como un solo estafador trabajando solo).
Los 17 Grandes: Se centraron en los 17 grupos más grandes (los "jefes" del crimen). Estos grupos operaban miles de tiendas falsas.
El Movimiento (Análisis de Tiempo): Miraron cómo se comportaban estos grupos a lo largo del tiempo:
- Algunos grupos son eternos: Han estado activos desde el principio hasta el final del estudio. Son como mafias muy organizadas que no se rinden.
- Otros son efímeros: Aparecen, hacen mucho daño en unos meses y desaparecen. Son como grupos de vandalismo que se dispersan rápido.
- Nuevos jugadores: Vieron que en 2024 surgieron nuevos grupos, lo que significa que el problema no se va a acabar pronto.

🚨 El Caso Especial: La Estafa del "Reembolso"

En la parte final, cuentan una historia real. Las autoridades japonesas advirtieron sobre una nueva estafa:

Te dicen: "Tu producto no llegó, te vamos a devolver el dinero".
Pero en realidad, te envían un código para que tú les envíes dinero a ellos.

Los detectives tomaron las tiendas que la policía había identificado como peligrosas y las conectaron con sus grupos. ¡Descubrieron que las dos tiendas más grandes (los grupos G1-1 y G2-1) estaban usando esta nueva estafa!
La lección: Esto significa que los grupos grandes no solo venden cosas falsas; comparten nuevas ideas para estafar. Si un grupo descubre un nuevo truco, pronto lo usarán todos.

💡 ¿Por qué es importante esto?

Para la Policía: En lugar de perseguir a miles de tiendas individuales (que son como hojas de un árbol), ahora pueden perseguir a los 17 troncos principales. Si cortan el tronco, caen todas las hojas.
Para Nosotros: Saber que existen estos grupos ayuda a crear mejores filtros de seguridad. Por ejemplo, si una tienda usa un "contador de visitas" (Matomo) que solo usan los estafadores, ¡el navegador puede avisarte que es peligrosa!

En resumen

Este estudio es como un mapa del tesoro inverso: en lugar de buscar el tesoro (el dinero robado), los investigadores mapearon a los piratas (los grupos de estafadores) para que la policía pueda detenerlos antes de que roben más. Descubrieron que hay unos pocos grupos muy grandes y organizados que controlan la mayoría de las estafas, y que están muy activos y listos para probar nuevas formas de engañarnos.

Título: Desvelando grupos de estafa de comercio electrónico falso basados en SEO de sombrero negro a partir de sus redirecciones y sitios web.

1. El Problema

Las estafas de comercio electrónico falso (sitios "Fake EC") representan una amenaza creciente para los usuarios de internet, causando daños financieros significativos y robo de información personal. Una técnica predominante utilizada por los actores de amenazas es el envenenamiento de motores de búsqueda (SEO poisoning) o "SEO de sombrero negro".

Mecanismo de ataque: Los actores comprometen sitios web legítimos (denominados en el estudio como "redireccionadores" o redirectors) e instalan malware. Este malware intercepta las solicitudes de los motores de búsqueda y redirige a los usuarios hacia sitios de comercio electrónico falsos.
Desafío específico: En Japón, esta técnica a menudo utiliza el "Hack de Palabras Clave en Japonés" (Japanese Keyword Hack), donde se manipulan las palabras clave para que los resultados de búsqueda aparezcan como sitios legítimos pero redirijan a estafas.
Brecha de conocimiento: Investigaciones anteriores han analizado familias de malware específicas, pero carecían de completitud debido a la dificultad de recolectar todas las muestras de malware en la naturaleza. No existía una estimación clara de cuántos grupos de actores de amenazas operan detrás de estas estafas en Japón ni cómo evolucionan sus operaciones.

2. Metodología

El estudio se basa en un análisis de datos masivos y técnicas de análisis de enlaces para atribuir sitios falsos a grupos de actores específicos.

Conjunto de Datos (Dataset):
- Fuente: Centro de Control de Ciberdelitos de Japón (JC3).
- Periodo: 20 de mayo de 2022 al 31 de diciembre de 2024 (2.5 años).
- Volumen: 692,865 sitios de comercio electrónico falso recolectados desde múltiples redireccionadores.
- Entidades extraídas: 105,286 dominios, 13,456 direcciones de correo electrónico, 36 servidores Matomo y 4,958 IDs de 51.la (servicios de análisis de tráfico).
Técnicas de Análisis:
1. Análisis de Enlaces (Link Analysis): Se utilizó la herramienta Maltego y scripts personalizados en Python para visualizar y conectar entidades. Se definieron tres tipos de enlaces para agrupar sitios:
  - Dominio $\rightarrow$ Dirección de correo electrónico.
  - Dominio $\rightarrow$ Servidor Matomo (usado para rastrear visitantes).
  - Dominio $\rightarrow$ ID de 51.la (otro servicio de análisis).
2. Agrupación Jerárquica:
  - Se ejecutó un algoritmo de detección de componentes conectados para identificar clústeres iniciales.
  - Se aplicó un filtrado en dos etapas: primero, se eliminaron grupos con menos de 200 dominios o 2,000 sitios (considerados de baja prioridad).
  - Posteriormente, se refinaron los grupos grandes dividiéndolos en subgrupos si la conexión era débil (basado en la eliminación de nodos individuales, excepto servidores Matomo compartidos).
3. Análisis de Series Temporales: Se rastreó la actividad de los grupos identificados mes a mes para observar tendencias, durabilidad de las operaciones y posibles sucesiones entre grupos (cuando uno se inactiva y otro aparece).

3. Contribuciones Clave

Estimación Cuantitativa de Grupos: Se logró estimar el número de grupos de actores de amenazas activos en Japón utilizando un conjunto de datos de alta calidad y gran escala, superando las limitaciones de muestreo manual de estudios previos.
Análisis de Evolución Temporal: Se identificaron no solo los grupos activos, sino también sus patrones de actividad a lo largo del tiempo, permitiendo distinguir entre grupos estables a largo plazo y operaciones efímeras.
Validación de Casos de Estudio (Estafa de Reembolso): Se demostró la utilidad del análisis al vincular sitios específicos advertidos por la Agencia de Asuntos del Consumidor de Japón con grupos de actores específicos, revelando que múltiples grupos grandes están adoptando nuevas estrategias de estafa (fraude de reembolso mediante aplicaciones de pago).

4. Resultados Principales

Identificación de Grupos: De los 1,118 grupos preliminares detectados, el análisis de filtrado y refinamiento resultó en 17 grupos principales que representan la mayor parte de la actividad (cubriendo el ~82% de los dominios y ~84% de los sitios del dataset).
Características de los Grupos:
- G1-1 y G2-1: Son los dos grupos más grandes. El análisis de series temporales mostró que G1-1 ha estado activo durante todo el periodo del estudio, mientras que G2-1 y sus subgrupos también han mantenido una actividad prolongada.
- Grupos Efímeros: Grupos como los de la familia G3 operaron por periodos cortos (menos de 4 meses), sugiriendo tácticas de "golpear y correr".
- Nuevos Actores: Grupos como G2-3, G9 y G11 surgieron activamente hacia finales de 2024.
Indicadores de Compromiso (IOCs):
- Se identificaron servidores Matomo específicos (ej. la51[.]xyz, omtage[.]top) utilizados por múltiples grupos grandes, lo que sirve como un indicador robusto para detectar sitios falsos.
- Se observó que los grupos más pequeños tienden a depender más de 51.la (con miles de IDs únicos) en lugar de Matomo, lo que dificulta su rastreo mediante listas negras estáticas.
Caso de Estudio (Estafa de Reembolso): Se analizaron 4 sitios denunciados por la autoridad japonesa. El estudio atribuyó exitosamente estos sitios a los grupos G1-1 y G2-1, confirmando que estos grandes grupos están utilizando una nueva estrategia donde ofrecen reembolsos falsos mediante códigos de aplicaciones de pago para robar dinero.

5. Significado e Impacto

Para la Aplicación de la Ley: El estudio proporciona una metodología para atribuir estafas a grupos específicos en lugar de tratar cada sitio como un incidente aislado. Esto permite a las fuerzas del orden rastrear la infraestructura y la evolución de las bandas criminales.
Para la Ciberseguridad:
- Se demuestra que el análisis de enlaces basado en entidades compartidas (correos, servidores de análisis) es efectivo incluso sin acceso directo al malware en los redireccionadores.
- Se identifican indicadores de compromiso (servidores Matomo específicos) que pueden ser utilizados para bloquear proactivamente sitios de estafa antes de que causen daños.
Limitaciones y Futuro: El estudio reconoce que los grupos pequeños que usan 51.la son difíciles de agrupar debido a la gran cantidad de IDs únicos. Futuras investigaciones deberían enfocarse en desarrollar filtros más efectivos para estos grupos pequeños y en analizar las características únicas de cada grupo para mejorar la atribución.

En resumen, este trabajo ofrece una visión profunda y basada en datos de la estructura organizativa detrás de las estafas de comercio electrónico en Japón, pasando de analizar sitios individuales a entender la dinámica de los grupos criminales que los operan.