Estafadores hacen uso de las quejas de pasajeros en redes sociales para suplantar a aerolíneas y robar dinero mediante una campaña de ingeniería social identificada por Check Point Software Technologies. La empresa de ciberseguridad detectó cuentas falsas que responden a reclamos públicos de viajeros, se ganan su confianza con lenguaje similar al de atención al cliente y trasladan la conversación a WhatsApp para solicitar datos personales y bancarios.
La investigación, realizada por el área de Exposure Management de la compañía, documentó el recorrido completo del fraude: desde el primer contacto en perfiles públicos hasta los intentos de pago final. El hallazgo expone un problema que va más allá de los sistemas informáticos de las aerolíneas.
Cómo operan las cuentas falsas que suplantan a las aerolíneas
El mecanismo del fraude parte de una situación cotidiana y real para cualquier viajero. Un vuelo retrasado, una maleta extraviada o una devolución pendiente lleva al pasajero a publicar su queja en redes sociales, generalmente etiquetando a la aerolínea con la expectativa de recibir una respuesta oficial.
Es en ese momento de frustración cuando actúan los ciberdelincuentes. Las cuentas fraudulentas monitorizan estas publicaciones y responden con rapidez, antes incluso de que lo haga el equipo legítimo de la marca.
Para resultar creíbles, estos perfiles copian logotipos oficiales, imágenes de portada y descripciones que imitan a las de la compañía real. Algunos utilizan nombres asociados a departamentos de reclamaciones o asistencia al cliente, lo que refuerza la sensación de legitimidad ante la víctima.
Una vez que el usuario responde al primer mensaje, los estafadores solicitan datos personales y proponen continuar la conversación en WhatsApp, fuera del alcance público de la red social original y, por lo tanto, con menos posibilidades de que la maniobra sea detectada o denunciada por terceros.
Los investigadores de Check Point interactuaron de forma directa con varias de estas cuentas y lograron documentar tres modalidades distintas de estafa.
En la primera, los delincuentes piden nombre completo, correo electrónico, datos de la reserva, detalles de la reclamación y el costo del viaje, para luego informar que la reclamación fue aprobada con una compensación de 500 dólares, monto que nunca se entrega porque antes exigen los datos de la tarjeta bancaria de la víctima.
En la segunda variante, la promesa sube a 1.200 dólares y la víctima es dirigida hacia una aplicación internacional de pagos. La tercera modalidad recurre a un formulario de Google con el título “COMPENSATION/REFUND APPLICATION” para recolectar información personal y datos de tarjetas bajo una apariencia de trámite oficial.
Crecimiento de la campaña de suplantación en redes sociales
Aunque existen cuentas de suplantación anteriores a 2024, la mayoría de los perfiles detectados por Check Point fueron creados a partir de ese año. Actualmente, los investigadores identifican cientos de cuentas nuevas cada día, un volumen que confirma una aceleración sostenida durante los últimos dos años.
Las tres modalidades documentadas por la compañía no agotan el repertorio de tácticas utilizadas por los delincuentes, que continúan diversificando sus métodos de captación y cobro.
Una campaña de ingeniería social de este tipo consiste en el uso de cuentas falsas en redes sociales para hacerse pasar por atención al cliente de aerolíneas, con el objetivo de responder a quejas reales de pasajeros, ganarse su confianza y obtener datos personales o bancarios mediante la promesa de compensaciones económicas que nunca se concretan.
El papel de la inteligencia artificial en la escalabilidad del fraude
Check Point no pudo confirmar el uso de inteligencia artificial generativa en las cuentas analizadas durante esta investigación. Sin embargo, la propia estructura de la campaña, con la necesidad de responder con rapidez y mantener conversaciones convincentes en simultáneo con numerosas víctimas, resulta compatible con el tipo de asistencia que este tipo de herramientas puede ofrecer.
La IA generativa permitiría redactar mensajes que imiten el tono de los equipos reales de atención al cliente, adaptar las respuestas al detalle de cada reclamación particular y comunicarse en distintos idiomas sin perder coherencia. Esta capacidad facilitaría, además, sostener un número elevado de conversaciones al mismo tiempo, algo que resultaría más difícil de lograr de forma manual.
A esto se suma que las propias quejas publicadas por los pasajeros funcionan como una fuente de información sobre el problema específico de cada cliente. Los delincuentes pueden usar esos datos para personalizar sus respuestas y ampliar el número de víctimas potenciales a las que dirigen la estafa.
Recomendaciones de Check Point para empresas y usuarios
Frente a este panorama, Check Point Software recomienda a las organizaciones monitorizar de forma continua cómo se representa su marca en redes sociales y contar con procedimientos definidos para actuar ante la detección de cuentas fraudulentas. Entre las medidas principales figura identificar y denunciar con rapidez los perfiles que suplantan a la compañía.
También recomienda formar tanto a clientes como a empleados para que puedan reconocer comunicaciones legítimas, y trasladar cualquier conversación que involucre datos de reservas, números de teléfono o información de pago hacia canales oficiales y seguros.
La coordinación con las plataformas sociales resulta otro punto señalado por la compañía, en tanto puede acelerar la retirada de las cuentas fraudulentas. A esto se agrega la posibilidad de compartir información con proveedores de servicios de pago cuando se detecten operaciones vinculadas a estas campañas.
Para los consumidores, la recomendación es contactar con las compañías únicamente a través de páginas web oficiales, perfiles verificados o números de teléfono conocidos previamente.
La compañía insiste en extremar la precaución ante cuentas de atención al cliente que contacten de manera directa por redes sociales y desconfiar de cualquier solicitud inusual de contraseñas, códigos de un solo uso, tarjetas regalo, transferencias bancarias o pagos en criptomonedas.
