Avast Scam

Nombres Alternativos / Aliases

• Estafa Avast
• French Avast Refund Scam
• €499 Avast Phishing Attack
• Tawk.to Live Chat Phishing
• Avast Credit Card Harvesting Operation
• Avast Brand Impersonation Scam
• Fake Avast Refund Portal

Fecha de Detección / Actividad

Período de Actividad Observado: Activa desde al menos febrero de 2026, con operaciones dirigidas específicamente a usuarios francófonos

Fecha de Divulgación Pública: 24-26 de febrero de 2026 por Malwarebytes y fuentes de investigación de ciberseguridad

Estado: ACTIVA, con infraestructura de phishing en funcionamiento y técnicas de ingeniería social avanzadas

Primeros Ataques Detectados: Campañas dirigidas a usuarios franceses (febrero 2026)

Actor de Amenaza (Atribución)

Atribución: Grupos de cibercrimen organizado no atribuidos específicamente (operadores de phishing como servicio)

Tipo de Actor: Cibercriminales con motivaciones financieras que operan infraestructura de phishing

Sofisticación: MEDIA-ALTA, empleando clonación precisa de sitios web legítimos, integración de servicios de chat en vivo reales, validación matemática de tarjetas (algoritmo de Luhn) y scripting dinámico para personalización de fechas

Motivación: Financiera (robo de datos de tarjetas de crédito y fraudes bancarios)

Sub-grupos Involucrados:

• Operadores de infraestructura de phishing (no identificados)
• Usuarios de plataforma Tawk.to con cuenta ID: 689773de2f0f7c192611b3bf

Resumen Ejecutivo

La campaña "Avast Scam" representa una sofisticada operación de phishing dirigida a usuarios francófonos que suplanta la identidad corporativa de Avast, reconocida empresa de seguridad antivirus. Descubierta e investigada por Malwarebytes a finales de febrero de 2026, esta campaña se distingue por la creación de una réplica casi perfecta del portal oficial de Avast, diseñada para engañar a las víctimas y hacerles entregar voluntariamente la información completa de sus tarjetas de crédito.

El sitio fraudulento emplea una táctica psicológica de urgencia: al acceder, la víctima recibe una notificación naranja de aspecto profesional informando de un cargo no autorizado de 499,99€ por una suscripción. La fecha del "recibo" no es fija, sino que utiliza código JavaScript para obtener la hora local del ordenador de la víctima, haciendo que el cargo parezca realizado "hoy" en cada visita. Un mensaje contradictorio sobre plazos de cancelación (72 horas para cancelar vs. 48 horas para reversión) está diseñado para generar pánico y confusión.

Lo que eleva la sofisticación de esta campaña es la implementación de múltiples capas de engaño técnico:

• Validación algorítmica: El sitio utiliza el algoritmo de Luhn (fórmula matemática estándar bancaria) para verificar la validez estructural de los números de tarjeta antes de aceptarlos, evitando pérdida de tiempo con datos falsos o errores tipográficos
• Chat en vivo interactivo: Integración de un widget legítimo de Tawk.to (ID de cuenta: 689773de2f0f7c192611b3bf) que permite a los estafadores observar a las víctimas en tiempo real e intervenir con mensajes de "soporte" para presionarlas a completar el formulario si dudan
• Redirección post-robo: Tras enviar los datos, la víctima es redirigida a una página de confirmación tranquilizadora que incluso incluye un botón para "Desinstalar Avast", un último empujón para eliminar el software de seguridad que podría alertar del fraude

El formulario fraudulento solicita nombre completo, dirección, correo electrónico, teléfono, y posteriormente en un modal emergente, el número de tarjeta, fecha de caducidad y código CVV. Todos los datos son enviados mediante POST a un archivo backend (send.php) que procesa la carga útil completa en formato JSON.

La campaña está diseñada para atrapar a cuatro perfiles distintos de víctimas: clientes legítimos de Avast, suscriptores que olvidaron su registro, no clientes alarmados por un supuesto fraude, y oportunistas que intentan reclamar un reembolso inexistente. Esta versatilidad demuestra una comprensión profunda de la psicología de las víctimas y maximiza la tasa de éxito del fraude.

Vectores de Ataque

• Redirección desde búsquedas: Probable posicionamiento en resultados de búsqueda para términos relacionados con "reembolso Avast" o "cancelar suscripción Avast"
• Campañas de correo phishing: Envío masivo de correos electrónicos fraudulentos con enlaces al sitio clonado
• Anuncios maliciosos (Malvertising): Compra de espacios publicitarios en buscadores para aparecer como resultado patrocinado
• Enlaces en foros y redes sociales: Difusión del enlace fraudulento en comunidades de habla francesa
• Redirección desde sitios comprometidos: Inyección de scripts en sitios legítimos vulnerados que redirigen al portal falso

Técnicas, Tácticas y Procedimientos (TTPs)

Táctica (MITRE ATT&CK)	Técnica	Descripción / Implementación
Acceso Inicial (TA0001)	Phishing (T1566)	Envío de enlaces maliciosos o redirección a sitio falso mediante campañas de correo
Ejecución (TA0002)	Scripting del Lado del Cliente (T1059.007)	Uso de JavaScript para insertar fecha dinámica y validar tarjetas con algoritmo Luhn
Persistencia (TA0003)	Cuenta Web (T1585.001)	Creación de cuenta en Tawk.to para operar chat en vivo falso
Evasión de Defensas (TA0005)	Suplantación de Marca (T1036.004)	Clonación precisa del sitio web de Avast incluyendo logo cargado desde CDN oficial
Evasión de Defensas (TA0005)	Ofuscación (T1027)	Uso de código JavaScript para generar fecha dinámica y validación sin alertar a la víctima
Evasión de Defensas (TA0005)	Validación de Datos (Sin mapeo directo)	Algoritmo de Luhn para aceptar solo números de tarjeta estructuralmente válidos
Acceso a Credenciales (TA0006)	Robo de Datos de Pago (Sin mapeo directo)	Captura de número de tarjeta, fecha de caducidad y CVV
Colección (TA0009)	Datos de Formulario (T1564.006)	Captura de información personal completa (nombre, dirección, email, teléfono)
Colección (TA0009)	Datos de Cliente (T1119)	Recopilación de información financiera sensible mediante formulario fraudulento
Comando y Control (TA0011)	Protocolo Web (T1071.001)	Envío de datos robados mediante POST a send.php (JSON)
Comando y Control (TA0011)	Aplicación de Terceros (T1102)	Uso de infraestructura legítima Tawk.to para interacción con víctimas
Exfiltración (TA0010)	Exfiltración por Canal Web (T1041)	Transmisión de datos robados a servidor backend mediante solicitud POST
Impacto (TA0040)	Robo de Identidad Financiera (Sin mapeo directo)	Datos robados utilizados para transacciones fraudulentas y venta en foros clandestinos

Flujo de Ataque (Kill Chain)

1. Reconocimiento:
   • Identificación de usuarios francófonos como objetivo demográfico
   • Selección de Avast como marca confiable para suplantar
   • Análisis del sitio web oficial de Avast para clonación precisa
2. Armamento:
   • Creación de réplica exacta del portal de Avast
   • Implementación de JavaScript para fecha dinámica (código que lee reloj local)
   • Integración de algoritmo de validación Luhn
   • Configuración de cuenta en Tawk.to (ID: 689773de2f0f7c192611b3bf)
   • Desarrollo de backend (send.php) para recepción de datos en JSON
   • Diseño de páginas de confirmación post-robo
3. Entrega:
   • Distribución mediante correos phishing, anuncios maliciosos o enlaces en redes sociales
   • Posible posicionamiento en resultados de búsqueda para términos de cancelación Avast
4. Explotación:
   • La víctima accede al sitio creyendo que es el portal legítimo de Avast
   • El JavaScript muestra fecha actual generando sensación de urgencia
   • Los mensajes contradictorios (72h vs 48h) crean confusión y pánico
5. Instalación:
   • No aplica (no se instala malware, es fraude basado en web)
   • El sitio persiste en infraestructura controlada por atacantes
6. Comando y Control:
   • Los operadores monitorean víctimas en tiempo real mediante panel Tawk.to
   • Posible intervención de "agentes de soporte" para presionar a víctimas indecisas
   • Los datos robados son enviados a send.php para recolección
7. Acción sobre objetivos:
   • Captura completa de información personal y financiera
   • Almacenamiento de datos en servidores controlados por atacantes
   • Utilización fraudulenta de tarjetas robadas o venta en mercados clandestinos
   • La víctima es redirigida a página de confirmación y se le sugiere desinstalar Avast

Infraestructura Utilizada

Tipo	Ejemplos / Características	Propósito
Servidor Web	Servidor hosting sitio falso (no especificado)	Alojamiento del portal de phishing
Backend	send.php	Script para recepción y procesamiento de datos robados en formato JSON
Servicio de Chat	Tawk.to (ID cuenta: 689773de2f0f7c192611b3bf, widget ID: 1j27pp82q)	Monitoreo en tiempo real e interacción con víctimas
CDN (inocente)	CDN oficial de Avast	Carga del logo legítimo para apariencia auténtica
JavaScript Personalizado	Código para fecha dinámica y algoritmo Luhn	Validación de tarjetas y generación de urgencia
Dominio Falso	Dominio similar al oficial de Avast (no especificado)	URL de acceso para víctimas

Objetivos y Sectores Atacados

Objetivo Primario: Usuarios francófonos (Francia y regiones de habla francesa)

Tipos de Víctimas:

• Cliente legítimo de Avast: Usuario que compró licencia y teme renovación no deseada
• Suscriptor olvidado: Usuario con cuenta antigua que no recuerda haber contratado
• No cliente alarmado: Usuario sin relación con Avast que asume fraude en su tarjeta
• Oportunista: Usuario que intenta reclamar reembolso inexistente por codicia

Distribución Geográfica: Francia y territorios francófonos (Bélgica, Suiza, Quebec, África francófona)

Sectores Afectados: Transversal (cualquier usuario con tarjeta de crédito independientemente del sector)

Enfoque Demográfico: Usuarios de habla francesa con acceso a internet y tarjetas de crédito

Impacto y Riesgo

Nivel de Riesgo: ALTO para usuarios francófonos; MODERADO a nivel global

Impacto Inmediato:

• Exposición completa de datos de tarjeta de crédito (número, fecha, CVV)
• Filtración de información personal identificable (nombre, dirección, teléfono, email)
• Pérdida financiera directa por transacciones no autorizadas

Impacto a Corto Plazo:

• Cargos fraudulentos en tarjetas comprometidas
• Necesidad de cancelación de tarjetas y apertura de disputas bancarias
• Posible robo de identidad con datos personales recopilados

Impacto a Largo Plazo:

• Datos personales circulando en foros clandestinos
• Mayor exposición a futuras campañas de phishing dirigido (spear-phishing)
• Daño reputacional para Avast por asociación con el fraude

Riesgo Estratégico:

• Erosión de confianza en comunicaciones de empresas legítimas
• Normalización de técnicas avanzadas de phishing (chat en vivo, validación Luhn)
• Modelo replicable para futuras campañas contra otras marcas

Recomendaciones de Mitigación

Para Usuarios:

• Verificación de URL: Siempre escribir manualmente la dirección oficial (www.avast.com) en lugar de hacer clic en enlaces de correos o mensajes
• Escepticismo ante cargos inesperados: Desconfiar de notificaciones de cargos no reconocidos, especialmente con mensajes de urgencia
• No proporcionar datos de pago: Los reembolsos legítimos nunca requieren reintroducir el CVV en páginas externas
• Contacto directo con la empresa: Ante dudas, contactar al soporte oficial mediante canales verificados
• Verificación de HTTPS: Asegurar que el sitio tiene certificado válido, aunque esto no garantiza legitimidad

Para Empresas (Avast y similares):

• M1045 Monitoreo de Marca: Implementar servicios de monitoreo de dominios similares y suplantación de identidad
• M1047 Campañas de Concientización: Informar proactivamente a clientes sobre tácticas de phishing actuales
• M1048 Certificados de Marca: Implementar BIMI (Brand Indicators for Message Identification) para autenticar correos legítimos
• M1049 Reporte de Sitios Maliciosos: Establecer canales ágiles para reportar y derribar sitios fraudulentos

Respuesta Inmediata para Víctimas:

• Contactar al banco/emisor de la tarjeta INMEDIATAMENTE para cancelar el plástico
• Disputar cualquier cargo no autorizado
• Monitorear extractos bancarios en los meses siguientes
• Cambiar contraseñas de cuentas vinculadas al email proporcionado
• Ejecutar análisis completo con software de seguridad actualizado

Herramientas de Detección

Para Usuarios:

• Extensiones antiphishing en navegadores (Web of Trust, Netcraft)
• Verificación manual de URL (detectar dominios ligeramente alterados)
• Desconfianza de ventanas de urgencia y plazos contradictorios

Para Profesionales de Seguridad:

• Análisis de DOM: Inspección de código JavaScript para detectar fecha dinámica y validación Luhn
• Monitoreo de Certificados SSL: Identificación de certificados emitidos para dominios suplantadores
• Detección de Cuentas Tawk.to: Identificación de ID de cuenta sospechosos (689773de2f0f7c192611b3bf)
• Análisis de Tráfico Web: Patrones de POST a send.php con datos JSON

Para Empresas:

• Servicios de Brand Protection: Monitoreo continuo de dominios similares
• Honeypots: Creación de señuelos para detectar campañas activas
• Threat Intelligence: Suscripción a feeds de IOCs de phishing

Referencias y Fuentes

• Malwarebytes: Investigación original sobre campaña Avast (24-26 febrero 2026)
• Deeba Ahmed: Artículo "Sitio web falso de Avast ataca a usuarios con estafa de phishing de reembolso de 499 €" (26 febrero 2026)
• Stefan Dasic: "Estafa de reembolso se hace pasar por Avast para recopilar datos de tarjetas de crédito" (24 febrero 2026)
• MITRE ATT&CK Framework para mapeo de TTPs
• Análisis técnico de algoritmo de Luhn y validación implementada
• Documentación de Tawk.to sobre widget de chat en vivo

Indicadores de Compromiso / IOC

Infraestructura:

• ID Cuenta Tawk.to: 689773de2f0f7c192611b3ff
• Widget ID Tawk.to: 1j27pp82q
• Archivo backend: send.php (ruta en servidor falso)
• Dominios similares a avast.com (pendiente de identificación específica)

Comportamiento del Sitio:

• Fecha dinámica generada por JavaScript (siempre "hoy")
• Notificación de cargo 499,99€ (cantidad fija)
• Plazos contradictorios visibles en página (72h vs 48h)
• Modal emergente solicitando datos de tarjeta después de formulario personal

Patrones de Red:

• Solicitudes POST a send.php con payload JSON conteniendo datos de tarjeta
• Carga de recursos desde CDN oficial de Avast (abuso de confianza)
• Conexión a servidores Tawk.to para widget de chat

Datos Solicitados:

• Nombre completo, apellidos
• Dirección de correo electrónico
• Número de teléfono
• Dirección postal completa (calle, ciudad, región, código postal)
• Número de tarjeta de crédito
• Fecha de caducidad de tarjeta
• Código de seguridad CVV

Etiquetas / Categorías

avast-phishing avast-scam brand-impersonation refund-scam credit-card-harvesting financial-fraud french-targeted francophone-phishing live-chat-phishing tawk-to-abuse luhn-algorithm payment-card-fraud social-engineering urgency-tactics dynamic-content javascript-phishing clone-website fake-portal credential-harvesting personal-data-theft identity-theft phishing-as-a-service malwarebytes-discovery february-2026 active-campaign high-sophistication bank-fraud cvv-theft carding double-extortion-psychological 499-euro-scam avast-brand-abuse tech-support-scam hybrid-phishing real-time-monitoring victim-profiling opportunistic-scam non-customer-targeting