Explotación de Desastres: Registro Masivo de Dominios Falsos para Estafas de Donación tras el Terremoto de Venezuela (2026)
Nombres Alternativos / Aliases
- Venezuela Earthquake Donation Scam (Por el evento desencadenante)
- 212 Venezuela Domains Campaign (Por el número de dominios registrados)
- Disaster Relief Phishing 2026 (Por el vector de ataque)
- Crypto Donation Fraud Venezuela (Por el método de pago solicitado)
Fecha de Detección / Actividad
- Terremoto en Venezuela: 24 de junio de 2026 (Réplica de magnitud 7,2; sismo principal de magnitud 7,5 en el centro-norte de Venezuela)
- Período de registro de dominios: 24-28 de junio de 2026
- Pico de registros: 25 de junio de 2026 (105 dominios en un solo día)
- Distribución de registros:
- 24 de junio: Actividad inicial (día del terremoto)
- 25 de junio: 105 dominios (pico máximo)
- 26 de junio: 60 dominios
- 27 de junio: 29 dominios
- 28 de junio: 15 dominios
- Total de dominios identificados: 212
- Estado: Activa (muchos dominios ya están en línea solicitando donaciones)
Actor de Amenaza (Atribución)
- Nombre del Actor: Múltiples operadores no afiliados (oportunistas)
- Vínculo Gubernamental: Ninguno
- Tipo de Actor: Estafadores oportunistas / Ciberdelincuencia
- Sofisticación: BAJA-MEDIA. Los operadores demuestran:
- Aprovechamiento de eventos de actualidad para registrar dominios
- Uso de servicios de privacidad de WHOIS (93% de los dominios)
- Distribución entre 28 registradores y 20 TLDs
- Solicitud de donaciones en criptomonedas sin verificación
- Patrón de registros en masa pero aparentemente no coordinados
Resumen Ejecutivo
Tras el devastador terremoto que azotó el centro-norte de Venezuela el 24 de junio de 2026, investigadores de WhoisXML API identificaron 212 nuevos dominios registrados entre el 24 y el 28 de junio que hacen referencia explícita al desastre. Estos dominios, que utilizan términos relacionados con ayuda, donaciones, rescate y personas desaparecidas, representan un riesgo significativo de estafas de donación y robo de información personal.
Descubrimientos clave
| Descubrimiento | Detalle |
|---|---|
| Dominios totales registrados | 212 |
| Día de mayor registro | 25 de junio de 2026 (105 dominios) |
| Dominios sin registro WHOIS visible | 93% (usaron servicios de privacidad o no listaron contacto directo) |
| TLDs utilizados | 20 top-level domains diferentes |
| Registradores principales | Namecheap (46), Name.com (43), GoDaddy (28), Cloudflare (25), Hostinger (23) |
| Temática de los dominios | Ayuda/donaciones (110), SOS/rescate (52), terremoto (56), desaparecidos/afectados (12) |
Contexto del desastre
El 24 de junio de 2026, una réplica de magnitud 7,2 y un sismo principal de magnitud 7,5 golpearon el centro-norte de Venezuela, desencadenando:
- Operaciones de rescate y ayuda humanitaria
- Llamamientos públicos de donación
- Búsqueda de personas desaparecidas
- Creación de un entorno donde el trabajo legítimo de ayuda y el fraude pueden aparecer lado a lado
"Los desastres crean el tipo de entorno en línea donde el trabajo legítimo de ayuda y el fraude pueden aparecer lado a lado."
Patrón de registro
| Fecha | Dominios registrados | Observación |
|---|---|---|
| 21-23 de junio | 0 | No se registraron dominios con temática del terremoto en los 3 días previos al sismo |
| 24 de junio | Actividad inicial | El mismo día del terremoto |
| 25 de junio | 105 | Pico máximo (el día después del desastre) |
| 26 de junio | 60 | Segundo día de alta actividad |
| 27 de junio | 29 | Tercer día |
| 28 de junio | 15 | Cuarto día |
Vector de Ataque / Métodos de Distribución
Técnicas de ingeniería social
| Técnica | Descripción |
|---|---|
| Explotación de urgencia | Aprovechan la necesidad inmediata de ayuda tras el desastre |
| Apelación emocional | Uso de términos como "SOS", "rescate", "ayuda", "donación" |
| Falsos llamamientos de organizaciones | Dominios que imitan a ONG legítimas o agencias de ayuda |
| Solicitudes de criptomonedas | Peticiones de donaciones en Bitcoin sin verificación de destino |
Canales de distribución
| Canal | Descripción |
|---|---|
| Redes sociales | Compartición de enlaces en Facebook, Twitter, WhatsApp |
| Correo electrónico | Cadenas de correo con llamamientos de ayuda |
| SMS | Mensajes de texto con enlaces a "páginas de ayuda oficiales" |
| Búsquedas en línea | SEO poisoning para aparecer en búsquedas de ayuda |
Señuelos comunes
| Categoría | Términos y frases |
|---|---|
| Donaciones | "donate", "help", "aid", "relief", "support" |
| Rescate | "sos", "rescue", "emergency", "urgent" |
| Terremoto | "earthquake", "quake", "seismic", "temblor" |
| Desaparecidos | "missing", "found", "search", "victims" |
| Ayuda médica | "medical", "hospital", "clinic", "shelter" |
Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK
| Táctica (MITRE ATT&CK) | Técnica / Subtécnica | Descripción / Implementación |
|---|---|---|
| Initial Access (TA0001) | Phishing (T1566) | Distribución de enlaces a dominios falsos de donación |
| Execution (TA0002) | User Execution: Malicious Link (T1204.001) | Usuario hace clic en enlace de donación |
| Defense Evasion (TA0005) | Masquerading (T1036) | Suplantación de organizaciones legítimas de ayuda |
| Defense Evasion (TA0005) | Domain Registration (T1583.001) | Registro masivo de dominios con temática del desastre |
| Defense Evasion (TA0005) | DNS/WHOIS Privacy (T1583) | 93% de los dominios usan servicios de privacidad |
| Defense Evasion (TA0005) | Domain Generation (T1583) | Múltiples TLDs y registradores para evadir bloqueos |
| Credential Access (TA0006) | Credentials from Password Stores (T1555) | Robo de credenciales en formularios falsos |
| Collection (TA0009) | Data from Local System (T1005) | Recopilación de información personal (nombres, direcciones, correos) |
| Collection (TA0009) | Information from Social Media (T1056.001) | Recopilación de perfiles de donantes y datos de contacto |
| Exfiltration (TA0010) | Exfiltration Over Web Service (T1567) | Exfiltración de datos de donantes y credenciales |
| Impact (TA0040) | Financial Theft (T1657) | Robo de donaciones (especialmente en criptomonedas) |
Flujo de Ataque (Cyber Kill Chain)
| Fase | Descripción |
|---|---|
| 1. Reconocimiento | Monitoreo de noticias del terremoto en Venezuela |
| 2. Armamento | Registro masivo de dominios con términos de ayuda y donación |
| 3. Entrega | Compartición de enlaces en redes sociales, correos, SMS |
| 4. Explotación (social) | Usuario visita el sitio y se siente compelido a ayudar |
| 5. Captura | Formularios de donación solicitan información personal y financiera |
| 6. Exfiltración | Datos y donaciones enviados a los estafadores |
| 7. Acción sobre Objetivos | - Robo de donaciones (especialmente criptomonedas)
- Robo de identidad - Venta de datos de donantes |
Infraestructura Utilizada
Distribución de registradores
| Registrador | Número de dominios |
|---|---|
| Namecheap | 46 |
| Name.com | 43 |
| GoDaddy | 28 |
| Cloudflare | 25 |
| Hostinger | 23 |
| Otros | 47 |
Top-Level Domains (TLDs) utilizados
| TLD | Descripción |
|---|---|
| .com | Dominio comercial genérico |
| .org | Organización (usado para aparentar legitimidad) |
| .net | Red |
| .info | Información |
| .ve | Venezuela (dominio de código de país) |
| Otros | .co, .io, .xyz, .club, .online, etc. |
Patrón de registro
"La infraestructura no apunta a un único operador. Solo un buzón de registrante apareció más de una vez en los datos visibles, conectado a tres dominios que usaban el mismo nombre de segundo nivel bajo diferentes TLDs. WhoisXML API afirmó que el patrón parecía más a muchos registros separados moviéndose al mismo tiempo que a una operación masiva."
Servicios de privacidad
| Característica | Porcentaje |
|---|---|
| Dominios con privacidad WHOIS activada | 93% |
| Dominios con registrante visible | 7% |
| Dominios con buzón visible | Muy pocos (solo 1 repetido) |
Víctimas y Sectores Afectados
| Categoría | Datos |
|---|---|
| Víctimas principales | Donantes potenciales, familiares de desaparecidos, público general |
| Sector objetivo | Ayuda humanitaria, donaciones, rescate |
| Región geográfica | Venezuela (principalmente) e internacional (donantes globales) |
| Tipo de estafa | Robo de donaciones (especialmente en criptomonedas), robo de identidad |
Riesgos específicos
| Riesgo | Descripción |
|---|---|
| Robo de donaciones | Pagos en criptomonedas sin verificación de destino |
| Robo de identidad | Formularios solicitan información personal completa |
| Phishing | Credenciales de correo y bancarias capturadas |
| Información de desaparecidos | Datos de personas desaparecidos recopilados y potencialmente explotados |
Impacto y Riesgo
| Categoría | Nivel | Descripción |
|---|---|---|
| Volumen de dominios | ALTO | 212 dominios en 5 días |
| Velocidad de registro | MUY ALTA | 105 dominios en un solo día (25 de junio) |
| Detección | BAJA | Sitios parecen legítimos, aprovechan urgencia emocional |
| Impacto financiero | ALTO | Donaciones perdidas, potencialmente miles de dólares |
| Impacto en víctimas | MUY ALTO | Falsas esperanzas, pérdida de fondos, robo de identidad |
Consecuencias específicas
| Consecuencia | Gravedad | Detalle |
|---|---|---|
| Robo de donaciones | Crítica | Donaciones enviadas a estafadores en lugar de víctimas reales |
| Falsas esperanzas | Alta | Familiares de desaparecidos engañados con falsas listas |
| Robo de identidad | Alta | Datos personales recopilados en formularios falsos |
| Fraude financiero | Alta | Uso de datos bancarios robados para transacciones fraudulentas |
| Daño reputacional | Media | Organizaciones legítimas pueden verse afectadas por la confusión |
Declaración de Alexandre François
"Algunas páginas en vivo ya solicitan donaciones en criptomonedas, incluyendo Bitcoin, sin dar confirmación clara de que los fondos llegarán a las víctimas."
"La mayoría de las páginas que solicitan donaciones no proporcionan confirmación clara de quién controla el sitio o dónde irá el dinero." — Alexandre François, Director de Investigación de DNS y Colaboraciones en WhoisXML API
Recomendaciones de Mitigación
Para donantes y usuarios
| Acción | Prioridad | Descripción |
|---|---|---|
| Verificar organizaciones | CRÍTICA | Usar canales oficiales (sitios web de ONG conocidas, Cruz Roja, etc.) |
| Comprobar fecha de registro | CRÍTICA | Dominios registrados después del desastre son sospechosos |
| Evitar donaciones solo en cripto | ALTA | Desconfiar de páginas que solo aceptan Bitcoin/criptomonedas |
| Buscar información de contacto | ALTA | Organización legítima debe tener dirección física y teléfono verificable |
| No compartir información personal | ALTA | Formularios que piden demasiados datos personales (SSN, etc.) son sospechosos |
| Verificar listas de desaparecidos | ALTA | Comparar con plataformas oficiales antes de compartir |
| Denunciar sitios sospechosos | ALTA | Reportar a autoridades o plataformas de seguridad |
Para organizaciones y plataformas
| Acción | Descripción |
|---|---|
| Monitorear registros de dominios | Alertas de nuevos dominios con términos de desastres |
| Educar al público | Campañas de concienciación sobre estafas en desastres |
| Colaborar con registradores | Reportar dominios sospechosos para su suspensión |
| Verificar organizaciones | Ofrecer servicios de verificación para ONG legítimas |
Verificación de dominios
| Paso | Descripción |
|---|---|
| 1. Consultar WHOIS | Verificar fecha de registro (dominios recientes son sospechosos) |
| 2. Buscar organización verificada | Cruz Roja, UNICEF, ONG reconocidas tienen canales oficiales |
| 3. Comprobar HTTPS y validez del certificado | Sitios legítimos suelen tener certificados válidos |
| 4. Buscar reseñas o menciones | Buscar el dominio en Google para ver si otros lo han reportado |
| 5. Contactar directamente | Llamar o enviar correo a la organización para verificar |
Antecedentes: Historial de Explotación de Desastres
| Año | Evento | Tipo de abuso |
|---|---|---|
| 2020-2021 | COVID-19 | Phishing, dominios falsos de salud, estafas de vacunas |
| 2024 | Huracán Milton (Florida) | Reclamaciones falsas de FEMA, archivos maliciosos como información de emergencia |
| 2025 | Incendios de California | Estafas de ayuda, falsos servicios de asistencia |
| 2026 | Gaza conflict | Aprovechamiento de llamamientos de ayuda |
| 2026 | Terremoto de Venezuela | 212 dominios falsos en 5 días |
Patrón común
Los estafadores explotan desastres naturales y crisis humanitarias mediante:
| Táctica | Descripción |
|---|---|
| Urgencia | "Ayuda ahora mismo, cada segundo cuenta" |
| Emoción | Apelación a la compasión y solidaridad |
| Falsa legitimidad | Uso de nombres que suenan a organizaciones conocidas |
| Criptomonedas | Solicitudes de Bitcoin (irrastreable, sin protección al consumidor) |
| Dominios recientes | Registrados horas o días después del desastre |
Opiniones de Expertos
"Las estafas en desastres a menudo funcionan porque explotan la urgencia, el dolor y la presión pública para ayudar rápidamente." — Alexandre François, Director de Investigación de DNS y Colaboraciones en WhoisXML API
"El mayor riesgo se encuentra en las páginas que solicitan donaciones sin pruebas claras de quién controla el sitio o dónde irá el dinero." — Alexandre François
"Esta rápida proliferación de dominios relacionados con el terremoto resalta la necesidad crítica de que los donantes potenciales verifiquen la legitimidad de los sitios web antes de contribuir. La explotación de la compasión pública en tiempos de crisis es un triste recordatorio de que la ciberdelincuencia no conoce tregua, ni siquiera ante la tragedia humana." — Fernando Vargas (CiberAnalyst)
Referencias y Fuentes
- Waqas. (2026, 29 de junio). 212 New Venezuela Earthquake Domains Prompt Donation Scam Warnings. Hackread.com.
- WhoisXML API. (2026, 28 de junio). Venezuela Earthquake Domain Registrations Analysis.
- Hackread.com. (2026, 29 de junio). Disaster Exploitation: No Honor Among Thieves.
Historial de Revisiones
| Fecha | Versión | Autor | Cambios Realizados |
|---|---|---|---|
| 2026-06-30 | 1.0 | Fernando Vargas Hincapié | Creación inicial basada en el informe de WhoisXML API y el artículo de Hackread.com |
Indicadores de Compromiso (IOCs)
Dominios sospechosos (patrones)
Los 212 dominios identificados contienen combinaciones de:
| Categoría | Términos |
|---|---|
| Ubicación | "venezuela", "caracas", "ve" |
| Desastre | "earthquake", "terremoto", "quake", "sismo" |
| Ayuda | "aid", "help", "relief", "assist" |
| Donación | "donate", "donation", "fund", "give" |
| Rescate | "sos", "rescue", "emergency" |
| Desaparecidos | "missing", "found", "search", "victims" |
Registradores utilizados
| Registrador | Número de dominios |
|---|---|
| Namecheap | 46 |
| Name.com | 43 |
| GoDaddy | 28 |
| Cloudflare | 25 |
| Hostinger | 23 |
| Otros (23 registradores) | 47 |
TLDs utilizados (20 en total)
- .com, .org, .net, .info, .ve, .co, .io, .xyz, .club, .online, etc.
Comportamiento anómalo a monitorear
| Categoría | Comportamiento |
|---|---|
| Dominios | Registrados inmediatamente después de desastres naturales |
| Sitios web | Solicitudes de donaciones sin información de contacto verificable |
| Pagos | Peticiones exclusivas de criptomonedas |
| Formularios | Solicitud excesiva de información personal (SSN, direcciones completas, etc.) |
| WHOIS | Uso de servicios de privacidad sin información de contacto |
Herramientas de verificación
| Herramienta | Propósito |
|---|---|
| Whois | Verificar fecha de registro del dominio |
| Google Search | Buscar menciones del dominio y posibles reportes de estafa |
| Organizaciones verificadas | Cruz Roja, UNICEF, ONG reconocidas |
| Certificate Transparency | Verificar validez del certificado SSL |
Preguntas sin respuesta
| Pregunta | Estado |
|---|---|
| ¿Cuántos de los 212 dominios son maliciosos activamente? | Desconocido (muchos pueden ser legítimos) |
| ¿Se han reportado víctimas de estafas? | No especificado |
| ¿Se han suspendido dominios maliciosos? | No especificado |
| ¿Hay conexión entre los diferentes registros? | Probablemente no (múltiples operadores oportunistas) |
Etiquetas / Categorías
venezuela-earthquake-donation-scam disaster-exploitation-domain-registration 212-fake-domains crypto-donation-fraud phish-after-disaster whois-privacy-93percent humanitarian-crisis-fraud false-charity-domains opportunistic-scamming urgency-social-engineering