BogusBazaar: anatomía de una red de tiendas falsas

Las cifras que siguen proceden de la investigación publicada por Security Research Labs, empresa alemana de ciberseguridad, en 2024. Se refieren a una sola red — existen otras.

El interés de estas cifras no es dramatizar, sino corregir una intuición habitual. Descubrir un sitio falso da la impresión de un incidente aislado, obra de un individuo. En realidad es un elemento de una producción en serie.

Este es el punto que lo cambia todo para una marca afectada. La red no funciona como un estafador aislado que monta un sitio y luego pasa al siguiente.

Los investigadores describen una organización en dos niveles: un equipo central que proporciona y mantiene la infraestructura — servidores, plantillas de tienda, cadenas de pago — y unos operadores que explotan las tiendas sin necesitar ninguna competencia técnica particular.

Consecuencia directa: cerrar un dominio no afecta a la infraestructura. Le cuesta al operador el precio de un nombre de dominio, y la tienda reabre en otro lugar.

Un análisis publicado en mayo de 2026 por Allure Security, apoyándose en la investigación de SRLabs, precisa una segunda decisión de arquitectura: la página de pago no está vinculada a la tienda. Cuando un proveedor de pagos bloquea una página por fraude, el operador instala una nueva — la tienda, por su parte, no cambia.

SRLabs describe «capacidades de orquestación extensas [que] permiten desplegar rápidamente nuevas tiendas o rotar las páginas de pago y los dominios en respuesta a las retiradas». Cortar un canal de pago ralentiza el cobro, sin llegar nunca a afectar a la tienda en sí.

Un detalle técnico de la investigación tiene consecuencias prácticas importantes: la red prefiere dominios caducados que ya cuentan con una reputación favorable ante los motores de búsqueda.

Un dominio recién registrado inspira desconfianza en los filtros de seguridad y en los motores de búsqueda. Un dominio con historial, recomprado tras su caducidad, hereda parte de esa confianza.

Esto matiza la señal más recomendada habitualmente para reconocer un sitio falso — la antigüedad del dominio. Un dominio antiguo no es necesariamente legítimo si ha cambiado de manos.

Estas redes han adaptado sus prácticas a los mecanismos de defensa existentes. El procedimiento UDRP, vía de arbitraje tradicional, se basa en la similitud entre el nombre de dominio y la marca: un dominio genérico escapa a ella por construcción.

De ahí el uso de nombres sin relación aparente con la marca copiada, aunque el contenido del sitio la reproduzca íntegramente.

De este funcionamiento se derivan tres consecuencias prácticas.

• Un takedown aislado no basta. Cerrar un dominio es útil para los clientes que lo hubieran encontrado, pero no afecta a la red. Sobre un parque que Allure Security calculaba en 22 500 dominios activos en mayo de 2026, una retirada aislada representa el 0,004 % — la infraestructura subyacente sigue intacta. La vigilancia cuenta tanto como la acción puntual.
• Buscar por nombre de dominio no basta. Las tiendas con nombres genéricos escapan a cualquier búsqueda por permutación.
• Actuar pronto cambia la relación de fuerzas. Un dominio registrado pero aún no activo no tiene ni clientes ni facturación que reivindicar.