Startups del Cibercrimen: Cuando el Phishing se Vende como Servicio (PhaaS)

El phishing dejó de ser un arte oscuro practicado por individuos aislados que copiaban a mano la interfaz de su banco favorito. Hoy asistimos a una transformación estructural del crimen digital que ha convertido este antiguo vector de ataque en un negocio sistematizado, profesionalizado y escalable. En el epicentro de esta evolución se encuentra el Phishing-as-a-Service (PhaaS), una industria clandestina que replica con precisión quirúrgica las prácticas del software como servicio, pero al servicio del fraude.

La democratización del fraude digital

Plataformas como EvilProxy, Tycoon 2FA, Caffeine y Darcula no solo entregan plantillas listas para clonar páginas de bancos o redes sociales, sino que incluyen paneles de administración, integraciones con Telegram y mecanismos para evadir autenticación multifactor. En pocos clics, el atacante puede seleccionar la marca objetivo, cargar la lista de víctimas y recibir notificaciones cuando se interceptan tokens de acceso o sesiones activas.

Proveedores que operan como startups

Caffeine ofrece acceso gratuito a nuevos usuarios y vende “addons premium” para campañas dirigidas. Tycoon 2FA es conocida por interceptar códigos de autenticación multifactor mediante reverse proxy y técnicas de man-in-the-middle. EvilProxy se comercializa como una solución full-stack para capturar credenciales de Microsoft, Apple, Facebook y servicios empresariales como Okta. Estos proveedores ofrecen soporte técnico, actualizaciones periódicas y programas de afiliación. No son simples delincuentes: se comportan como startups.

Casos reales, víctimas reales

En septiembre de 2022, EvilProxy fue usada para atacar a más de 120 ejecutivos de empresas Fortune 500. En 2023, Darcula fue utilizada para lanzar más de 2.000 campañas en solo tres semanas, imitando portales de DHL, PayPal y Outlook. A inicios de 2024, Group-IB detectó una operación coordinada donde múltiples actores usaban kits de PhaaS para robar credenciales bancarias en América Latina, con hosting descentralizado y dominios rotados vía Fast Flux.

Los kits detrás de la amenaza

En el corazón del ecosistema PhaaS están los kits de phishing: 16Shop, Muraena & Necrobrowser, y Evilginx2, que ha evolucionado para capturar cookies de sesión sin necesidad de malware. Se venden por suscripción, en marketplaces cerrados o por canales de Telegram cifrados, generando una asimetría crítica: mientras los defensores investigan, los atacantes automatizan.

Cibercrimen como economía de escala

Lo más inquietante no es solo la tecnología, sino la estructura económica que sustenta a PhaaS. Quienes desarrollan los kits no necesariamente los usan: los monetizan. Esto multiplica los puntos de entrada para operaciones policiales y dificulta la atribución. ¿A quién perseguir cuando el desarrollador está en Uzbekistán, el host en Malasia y el operador en Colombia? PhaaS globaliza el cibercrimen.

El horizonte de la defensa

Contener esta amenaza implica detección de patrones anómalos en navegación, validación fuera de banda de operaciones críticas y monitoreo continuo de marcas suplantadas en tiempo real. La colaboración con CERTs, ISPs y proveedores cloud es esencial para cortar infraestructura a tiempo.

Estrategias de disrupción emergentes

En 2025 han comenzado a emerger honeypots activos diseñados para sabotear kits mal configurados mediante desinformación inversa, e infiltración de foros de desarrolladores por parte de agencias de inteligencia. Algunas iniciativas privadas desarrollan APIs públicas que detectan en tiempo real si una URL forma parte de una campaña PhaaS conocida.

Donde la ingeniería social se convierte en industria

Phishing-as-a-Service representa un punto de inflexión: ya no es un ataque, es una industria, con métricas, flujos de caja y optimización continua. La única manera de contrarrestar este modelo es abordarlo también como industria: con inversión, con talento, con estrategia. Porque cuando los atacantes automatizan su delito y lo escalan como SaaS, solo una defensa igualmente automatizada y coordinada puede sobrevivir.