Estafa LiveChat

Estafa LiveChat es una campaña de phishing que explota el software legítimo de atención al cliente LiveChat (dominio lc[.]chat) para suplantar a marcas como Amazon y PayPal en tiempo real. Los atacantes interactúan directamente con las víctimas a través de ventanas de chat en vivo, haciéndose pasar por agentes de servicio al cliente, con el objetivo de robar información personal identificable (PII), números completos de tarjetas de crédito, credenciales de acceso y códigos de autenticación multifactor (MFA). El nombre de la campaña hace referencia a la combinación de "Estafa" y la herramienta LiveChat utilizada como vector principal de engaño.

Nombres Alternativos / Aliases

• Estafa de Phishing con LiveChat (Nombre técnico del método)
• Campaña de Suplantación de Amazon y PayPal (Por las marcas objetivo)
• LiveChat Phishing Campaign (Nombre en inglés, utilizado por Cofense)
• Estafa de Reembolso Falso (Por el señuelo principal del correo)
• Credential Harvesting via LiveChat (Por el objetivo de robo de credenciales)
• Cofense PDC Discovery (Por el equipo que descubrió la campaña)

Fecha de Detección / Actividad

• Período de Actividad Observado: Activa al menos desde diciembre de 2022, con picos de actividad reportados en marzo de 2026.
• Fecha de Descubrimiento Público: 16 de marzo de 2026 (Cofense Phishing Defense Center revela la campaña).
• Fecha del Informe Técnico: Marzo de 2026 (Publicación del análisis detallado por Cobi Aloia y Mark Deomampo).
• Estado: Activo / En curso. La campaña continúa evolucionando, utilizando señuelos y configuraciones de chat ligeramente diferentes para evadir filtros.

Actor de Amenaza (Atribución)

• Atribución: No atribuida a un grupo específico. Se trata de una campaña de phishing operada probablemente por un grupo de cibercriminales con capacidad de ingeniería social avanzada y uso de infraestructura SaaS legítima.
• Tipo de Actor: Cibercriminales (Grupo de Phishing). La motivación principal es financiera.
• Sofisticación: Media-Alta. No requiere exploit técnico complejo, pero sí un alto grado de ingeniería social, capacidad de interacción en tiempo real y orquestación de múltiples etapas (correo, chat, páginas de phishing, bots de Telegram).
• Motivación: Económica (robo de fondos de cuentas bancarias/PayPal, uso fraudulento de tarjetas de crédito) y robo de identidad.

Resumen Ejecutivo

Estafa LiveChat es el nombre que recibe la campaña de phishing que utiliza el servicio legítimo de atención al cliente LiveChat como plataforma de engaño. Descubierta y analizada por el Centro de Defensa contra el Phishing (PDC) de Cofense y reportada el 16 de marzo de 2026, esta estafa representa una evolución significativa en las tácticas de phishing, alejándose de las páginas estáticas para adoptar la interacción humana en tiempo real.

La campaña se inicia con un correo electrónico fraudulento que simula ser una notificación de PayPal (oferta de reembolso de $200 USD) o un aviso genérico de pedido pendiente (suplantando a Amazon). El correo contiene un enlace que, en lugar de dirigir a una web de phishing tradicional, lleva a un dominio de LiveChat (lc[.]chat). Una vez allí, la víctima se encuentra con una ventana de chat donde un supuesto agente de atención al cliente (en muchos casos, una persona real, no un bot) inicia una conversación.

Durante el chat, el falso agente utiliza técnicas de ingeniería social para ganarse la confianza de la víctima. Solicita información "para verificar la identidad" o "completar el proceso de reembolso", incluyendo:

• Datos personales: Nombre completo, dirección, fecha de nacimiento, teléfono.
• Credenciales de acceso: Correo electrónico y contraseña de la cuenta.
• Datos bancarios: Número completo de tarjeta de crédito, fecha de vencimiento y código CVC.
• Códigos MFA: Las contraseñas de un solo uso enviadas al teléfono de la víctima para eludir la autenticación de dos factores.

El uso de LiveChat aporta una capa de legitimidad que desarma a la víctima, acostumbrada a resolver incidencias a través de estos canales en sitios web oficiales. La interacción en tiempo real permite a los estafadores adaptar su discurso, responder objeciones y generar una falsa sensación de seguridad, culminando con un cortés "gracias" mientras los datos robados son enviados a servidores controlados por los atacantes o directamente a un bot de Telegram, como se observó en una de las variantes de la campaña.

Vectores de Ataque

• Correo Electrónico de Phishing (Inicial): El vector principal es un correo electrónico cuidadosamente diseñado.
  • Señuelo PayPal: Notificación de un reembolso de $200 USD pendiente. Incluye un botón hipervinculado "Ver detalles de la transacción".
  • Señuelo Amazon (Genérico): Aviso de un pedido pendiente que requiere confirmación. Incluye un enlace "Ver actualización". Este correo no menciona inicialmente la marca, lo que genera curiosidad y urgencia.
• Redirección a LiveChat (Segunda Etapa): Al hacer clic en el enlace del correo, la víctima es dirigida a un dominio legítimo de LiveChat (direct[.]lc[.]chat/[ID]). El uso de un servicio SaaS legítimo permite a los atacantes eludir muchos filtros de correo basados en reputación de dominios.
• Interacción en Tiempo Real (Chat en Vivo): El núcleo del engaño. La víctima interactúa con un atacante (o, en algunos casos, un bot configurado) a través de una ventana de chat con la imagen de marca (PayPal o Amazon). Esta interacción puede ser:
  • Humana: El lenguaje utilizado es a menudo coloquial, con errores tipográficos ("Ello", "Hello !!"), lo que indica que al otro lado hay una persona real escribiendo.
  • Semiautomática: Un bot inicia la conversación y luego deriva a un humano o a un formulario externo.
• Páginas de Phishing Externas (Exfiltración): En la variante de PayPal, el chat redirige a la víctima a una página de phishing externa (ej. paypalrefund[.]workers[.]dev) para capturar credenciales, códigos MFA y datos de tarjeta. Estos datos son posteriormente enviados a un bot de Telegram controlado por los atacantes.
• Exfiltración vía Telegram: Se identificó el uso de la API de Telegram (api[.]telegram[.]org/bot.../sendMessage) para enviar en tiempo real la información robada a un canal o chat privado de los ciberdelincuentes.

Técnicas, Tácticas y Procedimientos (TTPs)

Táctica (MITRE ATT&CK)	Técnica	Descripción / Implementación
Recolección de Información (TA0043)	Phishing for Information (T1598)	Envío masivo de correos con señuelos atractivos (reembolso de $200) para engañar a las víctimas y que inicien el contacto.
Entrega Inicial (TA0001)	Phishing - Spearphishing Link (T1566.002)	Correos electrónicos dirigidos al público general con enlaces maliciosos que llevan a dominios de LiveChat.
Ejecución (TA0002)	User Execution - Malicious Link (T1204.001)	La víctima debe hacer clic en el enlace del correo para que el engaño progrese.
Persistencia (TA0003)	N/A (La campaña no busca persistencia en el sistema de la víctima, sino robo de credenciales).
Evasión de Defensas (TA0005)	Phishing (T1566)	Uso de servicios SaaS legítimos (LiveChat, workers.dev) para alojar el contenido malicioso y evadir filtros basados en reputación de dominios.
Evasión de Defensas (TA0005)	Obfuscated Files or Information - HTML Smuggling (T1027.006)	Potencial uso de HTML y JavaScript en las páginas de phishing para capturar y formatear los datos robados.
Evasión de Defensas (TA0005)	Impair Defenses - Multi-Factor Authentication Request Generation (T1562.011)	Los atacantes solicitan activamente los códigos MFA a la víctima, utilizando la interfaz de chat para generar la solicitud de autenticación y así eludir esta capa de seguridad.
Acceso a Credenciales (TA0006)	Phishing (T1566)	Obtención de credenciales de acceso (usuario/contraseña) de cuentas de PayPal y Amazon mediante páginas de phishing.
Acceso a Credenciales (TA0006)	Steal Application Access Token (T1528)	Captura de códigos MFA (tokens de un solo uso) para acceder a las cuentas.
Descubrimiento (TA0007)	N/A	No aplica directamente, aunque el atacante "descubre" información valiosa a través de la conversación con la víctima.
Recopilación (TA0009)	Data from Information Repositories - Credentials (T1213.003)	Acumulación de datos personales y financieros de la víctima a través del chat y formularios.
Exfiltración (TA0010)	Exfiltration Over Web Service - Exfiltration to Code Repository (T1567.001)	Envío de los datos robados a un servidor controlado por los atacantes. En el caso de PayPal, los datos se enviaban a un bot de Telegram (api.telegram.org).
Impacto (TA0040)	Financial Theft (T1657)	El objetivo final es el robo de fondos de las cuentas bancarias o de PayPal de la víctima, así como el uso fraudulento de las tarjetas de crédito.

Flujo de Ataque (Kill Chain)

1. Preparación: Los atacantes configuran cuentas en el servicio LiveChat y personalizan la apariencia del chat con logos y colores de Amazon y PayPal. Preparan los correos de phishing y, en el caso de la variante PayPal, las páginas de phishing externas y un bot de Telegram para recibir los datos.
2. Entrega (Lanzamiento): Se envía de forma masiva el correo de phishing con el señuelo económico (reembolso de $200) o de urgencia (pedido pendiente).
3. Clic de la Víctima: La víctima, intrigada por el reembolso o preocupada por un pedido que no reconoce, hace clic en el enlace "Ver detalles de la transacción" o "Ver actualización".
4. Redirección a LiveChat: El enlace lleva a la víctima a una ventana de chat alojada en direct[.]lc[.]chat. Aparece un mensaje de bienvenida de un "agente de soporte".
5. Interacción y Explotación de Confianza: El "agente" (atacante) inicia una conversación amigable. Explica que para procesar el reembolso o verificar el pedido, necesita confirmar algunos datos. Las preguntas escalan desde el correo electrónico y teléfono hasta la dirección, fecha de nacimiento y, finalmente, los datos de la tarjeta de crédito.
6. Exfiltración de Datos (Caso Amazon):
   • El atacante pide directamente los datos de la tarjeta en el chat, justificándolo como "verificación" y asegurando confidencialidad.
   • Una vez obtenidos, los datos son registrados por el atacante en su backend.
7. Redirección y Exfiltración (Caso PayPal):
   • El atacante envía un enlace dentro del chat a una página de phishing externa (ej. paypalrefund[.]workers[.]dev).
   • La víctima ingresa sus credenciales de PayPal.
   • El sistema le solicita el código MFA enviado a su teléfono. La víctima lo introduce y los atacantes lo capturan, usándolo inmediatamente para acceder a la cuenta real.
   • La víctima es dirigida a formularios adicionales donde introduce datos de facturación y de tarjeta de crédito.
   • Toda esta información es enviada en tiempo real al bot de Telegram de los atacantes.
8. Acciones Finales: Con los datos en su poder, los atacantes vacían las cuentas bancarias vinculadas, realizan compras fraudulentas con las tarjetas de crédito o venden la información en foros clandestinos. La víctima recibe un mensaje final en el chat dándole las gracias y asegurándole que el reembolso se procesará, cerrando así el engaño sin levantar sospechas inmediatas.

Infraestructura Utilizada

Tipo	Ejemplos / Características	Propósito
Servicio SaaS Legítimo	LiveChat (dominio lc[.]chat, direct[.]lc[.]chat)	Plataforma principal para alojar el chat de phishing y darle apariencia de legitimidad.
Dominios de Phishing	paypalrefund[.]workers[.]dev (Cloudflare Workers)	Alojar páginas falsas de inicio de sesión y captura de datos de PayPal.
Servidor C2 / Exfiltración	api[.]telegram[.]org	API utilizada para enviar los datos robados a un bot de Telegram controlado por los atacantes.
Acortador de URL	t[.]co (acortador de Twitter/X)	Utilizado en una de las variantes (Amazon) para ofuscar el enlace malicioso inicial.
Proveedor de Alojamiento	Varios (Cloudflare, redes de entrega de contenido)	Alojar las páginas de phishing y proporcionar anonimato a los atacantes.

Objetivos y Sectores Atacados

• Objetivo Principal: Usuarios finales, clientes de Amazon y PayPal a nivel global.
• Alcance Cuantificado: Desconocido, pero potencialmente miles o cientos de miles de víctimas debido a la naturaleza masiva de las campañas de phishing.
• Sectores Prioritarios: No hay un sector empresarial específico. La campaña es de tipo "spray and pray" (disparar y rezar), dirigida al público en general, aunque los usuarios de PayPal y Amazon son el denominador común.
• Perfil de la Víctima: Cualquier persona con cuenta en PayPal o Amazon que pueda ser susceptible a ofertas de reembolso o a notificaciones de pedidos no reconocidos.

Impacto y Riesgo

• Nivel de Riesgo: Alto para los usuarios finales.
• Impacto Financiero Directo: Pérdida de dinero en cuentas de PayPal y cargos no autorizados en tarjetas de crédito.
• Impacto en la Identidad: Robo de información personal identificable (PII) que puede ser utilizada para robo de identidad y fraude en otras plataformas.
• Impacto en la Confianza: Daño a la reputación de marcas legítimas como Amazon y PayPal, cuyos nombres son utilizados para el engaño.
• Carácter de la Amenaza: No es un ataque técnico a sistemas, sino un ataque de ingeniería social avanzada. La combinación de correo electrónico, chat en vivo con interacción humana y páginas de phishing crea un escenario de engaño multicapa muy efectivo y difícil de detectar para el usuario promedio.

Recomendaciones de Mitigación

Recomendaciones Técnicas (Mitigación)

• Filtrado de Correo Avanzado: Implementar soluciones de seguridad de correo que analicen no solo el contenido, sino también el comportamiento de los enlaces y la reputación de los dominios, incluso si son legítimos (como LiveChat). Las pasarelas de correo deben ser capaces de aislar y analizar enlaces en entornos controlados (sandboxing).
• Bloqueo de Dominios Maliciosos Conocidos: Incorporar los IOCs (Indicadores de Compromiso) proporcionados por Cofense y otras fuentes en los filtros web y firewalls para bloquear el acceso a los dominios específicos de la campaña (ej. paypalrefund[.]workers[.]dev).
• Monitoreo de Tráfico API: Vigilar el tráfico saliente hacia dominios de API no estándar, como api[.]telegram[.]org, especialmente si se origina desde navegadores web de usuarios, lo que podría indicar una exfiltración de datos.
• Protección en el Navegador: Utilizar extensiones de seguridad o soluciones de navegador empresarial que adviertan a los usuarios sobre sitios de phishing conocidos o actividad de exfiltración de datos.

Recomendaciones Preventivas (Basadas en MITRE ATT&CK)

• User Training (M1017): La mitigación más efectiva es la concienciación y formación continua de los usuarios.
  • Enseñar a desconfiar de ofertas de reembolsos no solicitados.
  • Instruir para que nunca proporcionen datos de tarjetas de crédito o códigos MFA por chat o teléfono, incluso si la interfaz parece oficial.
  • Explicar que las empresas legítimas nunca solicitan la contraseña completa o el código CVC por estos medios.
• Phishing Protection (M1021): Implementar soluciones de protección contra phishing que incluyan el análisis de URLs en tiempo real y la advertencia de sitios web sospechosos.
• Multi-Factor Authentication (MFA) (M1032): Aunque los atacantes intentan robar los códigos MFA, tenerlo activado sigue siendo una barrera crítica. Reforzar la idea de que el código MFA es tan secreto como la contraseña y no debe compartirse con nadie.
• Web Application Firewall (WAF) (M1013): Los propietarios de marcas como Amazon y PayPal pueden desplegar WAFs y medidas de protección de marca para detectar y derribar rápidamente sitios de phishing que suplantan su identidad.
• Network Intrusion Prevention (M1031): Los sistemas IPS pueden detectar patrones de tráfico hacia dominios de phishing o de exfiltración conocidos.

Herramientas de Detección

• Soluciones de Seguridad de Correo: Plataformas como Proofpoint, Mimecast, Abnormal Security que utilizan IA para detectar anomalías en el comportamiento de los enlaces y el lenguaje de los correos.
• Sandboxing / Análisis de URLs: Herramientas como VirusTotal, URLScan.io o soluciones integradas en los firewalls que pueden abrir y analizar el contenido de los enlaces (incluyendo la interacción con LiveChat) en un entorno aislado.
• EDR / XDR: Soluciones como CrowdStrike, SentinelOne, Microsoft Defender pueden detectar si un navegador está siendo dirigido a dominios de phishing o si se está estableciendo comunicación con la API de Telegram desde un proceso inusual.
• SIEM con Correlación de Eventos: Correlacionar alertas de correo, actividad de navegación y tráfico de red (logs de proxy) para identificar usuarios que hicieron clic en un enlace de un correo sospechoso y posteriormente visitaron dominios como lc[.]chat o workers[.]dev.
• Servicios de Inteligencia de Amenazas (TI): Suscribirse a fuentes de inteligencia que proporcionen listas actualizadas de dominios de phishing (IOCs) relacionados con la campaña.

Indicadores de Compromiso (IOCs)

Los siguientes IOCs han sido publicados por el Centro de Defensa contra el Phishing de Cofense.

Correos Electrónicos Maliciosos (Etapa Inicial)

• Asunto: Varios, relacionados con "Reembolso de PayPal" o "Confirmación de Pedido".
• Remitente: Suplantación de PayPal o Amazon (spoofing).

URLs de Infección (Etapa 1)

• hXXps://www[.]govnet[.]co[.]za/?redirect=hXXps%3A%2F%2Fdirect[.]lc[.]chat%2F19449368
  • IPs asociadas: 104.21.90.116, 172.67.200.101
• hXXps://t[.]co/56TlmnQA0M (Redirecciona a LiveChat)
  • IP asociada: 162.159.140.229

URLs de Carga Útil (Payload) - LiveChat y Phishing (Etapa 2)

• hXXps://direct[.]lc[.]chat/19449368
  • IPs asociadas: 23.48.203.38, 104.21.20.86, 172.67.192.3, 23.48.203.39
• hXXps://direct[.]lc[.]chat/19252309
  • IPs asociadas: 23.53.11.166, 23.53.11.176, 23.53.11.168, 23.53.11.171

URLs de Página de Phishing (PayPal)

• hXXps://www[.]paypalrefund[.]workers[.]dev/en?utm_medium=chat&utm_campaign=link-shared-in-chat&utm_source=livechat[.]com&utm_content=direct[.]lc[.]chat

Infraestructura de Exfiltración (Telegram Bot API)

• hXXps://api[.]telegram[.]org/bot8584408242:AAGFK13zX70Zq_ezkA-BUAr-x6Jn308BlmI/sendMessage
  • IPs asociadas: 149.154.166.110

Referencias y Fuentes

• Cofense Phishing Defense Center (PDC). (2026, Marzo 16). LiveChat Abuse: How Phishers Are Exploiting SaaS Support Tools to Steal Sensitive Data. (Informe original de Cobi Aloia y Mark Deomampo).
• Ahmed, D. (2026, Marzo 16). Nueva estafa de phishing utiliza LiveChat para hacerse pasar por Amazon y PayPal en tiempo real. Hackread.com.
• Rashid, H. (2023, Enero 19). PayPal notifica a 35.000 usuarios sobre una filtración de datos. Hackread.com. (Contexto sobre ataques previos a PayPal).
• MITRE ATT&CK Framework: Mapeo de TTPs (T1566, T1204, T1027, T1528, T1567, etc.).
• Análisis técnico de los dominios e IPs involucrados.

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-03-16	1.0	Fernando Vargas Hincapie	Creación inicial de la entrada basada en los informes de Cofense y análisis de la campaña.

Etiquetas / Categorías

phishing livechat amazon paypal estafa ingenieria-social robo-credenciales mfa-bypass tarjetas-de-credito cofense saas-abuse telegram-bot ciberwiki dfir threat-intelligence t1566 t1204 t1528 t1567