NTERPOL desmantela la plataforma de phishing Sniper Dz

Una operación internacional liderada por INTERPOL ha logrado desmantelar Sniper Dz, una de las plataformas de Phishing-as-a-Service (PhaaS) más longevas y utilizadas del panorama del cibercrimen. La acción, denominada Operación Ramz, culminó con la detención de cientos de sospechosos, la incautación de infraestructura utilizada para campañas de phishing y el cierre de un servicio que durante años facilitó ataques de robo de credenciales a escala global.

Según reveló la firma de ciberseguridad Group-IB, la operación se desarrolló entre octubre de 2025 y febrero de 2026 y contó con la participación coordinada de organismos policiales de 13 países pertenecientes a la región de Oriente Medio y Norte de África (MENA). Como resultado, las autoridades efectuaron 201 arrestos, incluyendo la captura del supuesto desarrollador principal y administrador de Sniper Dz.

La operación representa uno de los golpes más importantes contra el ecosistema de Phishing-as-a-Service en los últimos años y pone de manifiesto el creciente nivel de cooperación internacional para combatir las amenazas cibernéticas transfronterizas.

¿Qué era Sniper Dz?

Sniper Dz fue una plataforma especializada en ofrecer herramientas de phishing listas para usar a ciberdelincuentes con poca o ninguna experiencia técnica. Activa al menos desde 2015, la plataforma evolucionó con el tiempo hasta convertirse en un completo servicio criminal que proporcionaba kits de phishing, alojamiento web, infraestructura de soporte y recursos de capacitación para facilitar campañas de robo de credenciales.

A lo largo de su existencia, el servicio operó bajo distintos nombres, incluyendo:

• Sniper Dz
• Joker Dz
• Storm Dz
• Spam Dz

Este cambio constante de identidad permitió a sus operadores mantener la actividad durante años mientras evitaban la atención de investigadores y organismos de seguridad.

Las investigaciones indican que la plataforma estuvo relacionada con más de 20.000 dominios únicos utilizados para alojar páginas fraudulentas diseñadas para suplantar marcas legítimas y engañar a usuarios de todo el mundo.

La Operación Ramz y la captura de los responsables

Uno de los principales objetivos de la Operación Ramz fue identificar y neutralizar la infraestructura detrás de Sniper Dz.

Las autoridades lograron localizar y detener a Guedz, señalado como desarrollador principal y administrador de la plataforma. La detención fue realizada por la Policía Nacional de Argelia, que además colaboró en la incautación de hardware utilizado para operar los servicios de phishing.

Durante los registros, las fuerzas de seguridad confiscaron servidores, equipos informáticos, software especializado y scripts utilizados para desplegar campañas fraudulentas.

El cierre del portal principal utilizado para distribuir los kits de phishing también representa un golpe significativo para la comunidad criminal que dependía de esta infraestructura para lanzar ataques contra usuarios y organizaciones.

Más de 45.000 víctimas y miles de credenciales robadas

De acuerdo con Group-IB, Sniper Dz habría recopilado más de 45.000 registros de víctimas durante su actividad.

Los datos robados incluían:

• Credenciales de acceso.
• Información personal identificable.
• Direcciones de correo electrónico.
• Datos financieros.
• Información de autenticación utilizada en servicios digitales.

Lo más preocupante es que la plataforma permitía a cualquier ciberdelincuente lanzar campañas sofisticadas sin necesidad de conocimientos avanzados en programación o infraestructura.

Este modelo de negocio reducía significativamente las barreras de entrada al cibercrimen y facilitaba la proliferación de ataques a gran escala.

Grandes marcas internacionales fueron utilizadas como señuelo

Los investigadores identificaron más de 80 plantillas de phishing utilizadas por Sniper Dz para suplantar servicios legítimos.

Entre las organizaciones más utilizadas por los atacantes se encontraban:

• PayPal
• Facebook
• Instagram
• Yahoo
• Netflix
• Steam

Las páginas fraudulentas imitaban de forma convincente la apariencia de estos servicios para inducir a los usuarios a ingresar sus credenciales.

Además, las campañas estaban disponibles en cinco idiomas:

• Árabe
• Inglés
• Francés
• Español
• Hebreo

Esta capacidad multilingüe permitió a los operadores expandir sus actividades a diversas regiones geográficas y aumentar significativamente el número potencial de víctimas.

Ingeniería social y suplantación de figuras públicas

Uno de los aspectos más sofisticados de la operación era el uso intensivo de técnicas de ingeniería social.

Según Group-IB, los operadores no se limitaban a distribuir páginas falsas de inicio de sesión. También creaban perfiles fraudulentos en redes sociales haciéndose pasar por figuras públicas, celebridades y personalidades políticas reconocidas en la región MENA.

Estas cuentas falsas promocionaban:

• Supuestas ofertas exclusivas.
• Programas de acceso gratuito a internet.
• Promociones especiales.
• Sorteos falsos.
• Beneficios gubernamentales inexistentes.

El objetivo era generar confianza en las víctimas antes de redirigirlas a sitios web diseñados para robar credenciales o información sensible.

Esta estrategia aumentaba considerablemente las tasas de éxito de las campañas de phishing.

Telegram como centro de operaciones

La popularidad de Sniper Dz creció en gran medida gracias al uso de Telegram como canal de distribución y soporte.

Investigaciones previas realizadas por investigadores de seguridad revelaron que los operadores gestionaban un canal con más de 7.300 suscriptores donde compartían:

• Tutoriales en vídeo.
• Guías paso a paso.
• Actualizaciones de herramientas.
• Consejos para maximizar campañas de phishing.
• Soporte técnico para usuarios del servicio.

Este enfoque permitió crear una auténtica comunidad criminal alrededor de la plataforma, facilitando la incorporación de nuevos actores al ecosistema del phishing.

Un modelo PhaaS gratuito que impulsó su expansión

A diferencia de otras plataformas Phishing-as-a-Service que operan mediante suscripciones o pagos mensuales, Sniper Dz destacaba por ofrecer gran parte de su infraestructura de forma gratuita.

Este modelo eliminaba prácticamente cualquier barrera económica para los ciberdelincuentes.

La monetización se producía posteriormente mediante:

• Robo de credenciales.
• Venta de datos robados.
• Fraudes de facturación móvil.
• Suscripciones SMS premium.
• Campañas de afiliación fraudulentas.
• Abuso de notificaciones del navegador.
• Estafas basadas en redirecciones de tráfico.

Los usuarios que no proporcionaban credenciales eran redirigidos a esquemas alternativos de monetización diseñados para generar ingresos igualmente.

El crecimiento del modelo Phishing-as-a-Service

El caso de Sniper Dz refleja una tendencia cada vez más preocupante dentro del panorama de amenazas: la industrialización del phishing.

Las plataformas PhaaS han transformado el phishing tradicional en un servicio comercializado que permite a cualquier persona lanzar ataques complejos utilizando herramientas prefabricadas.

Este modelo ha contribuido al aumento global de:

• Robo de credenciales corporativas.
• Secuestro de cuentas.
• Fraudes financieros.
• Ataques de ransomware.
• Compromisos de correo empresarial (BEC).

Al reducir los requisitos técnicos necesarios para operar campañas maliciosas, estas plataformas amplían constantemente el número de actores capaces de participar en actividades delictivas.

Un golpe importante contra el cibercrimen organizado

La desarticulación de Sniper Dz representa una victoria significativa para las fuerzas de seguridad internacionales y para la comunidad de ciberseguridad.

Sin embargo, los expertos advierten que el cierre de una plataforma no elimina el problema de fondo. El modelo Phishing-as-a-Service continúa creciendo y nuevos servicios suelen ocupar rápidamente el espacio dejado por operaciones desmanteladas.

Aun así, la Operación Ramz demuestra que la cooperación internacional, el intercambio de inteligencia y la colaboración entre organismos policiales y empresas privadas pueden generar resultados efectivos contra redes criminales altamente organizadas.

La caída de Sniper Dz no solo elimina una infraestructura utilizada durante más de una década para robar credenciales, sino que también envía un mensaje claro a los operadores de plataformas PhaaS: incluso los servicios más consolidados y sofisticados pueden ser identificados, rastreados y finalmente desmantelados por las autoridades.

Fuente: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login