JC Rueda
Ciberseguridad · Aviso

Webs fraudulentas de pedidos de comida a domicilio (suplantación de cadenas de EE. UU.; dominios «.delivery») · Suplantación con robo de tarjeta y código OTP del banco

Una red de 820 webs falsas imita a 35 cadenas de restaurantes para robar los datos de la tarjeta y, además, el código de verificación que envía el banco por SMS.

Publicado Lectura 6 min Ref. Sin CVE CVSS — Estado Explotación activa

Resumen

Investigadores de InfoHawk han documentado la campaña «Scamwich»: 820 dominios fraudulentos que clonan la web de pedidos de 35 cadenas estadounidenses (Jersey Mike's, Jimmy John's, Firehouse Subs, Chipotle o Dave's Hot Chicken, entre otras). En lugar de una imitación tosca, los atacantes reproducen en directo la web auténtica y solo sustituyen la pantalla de pago. Allí piden los datos de la tarjeta y, acto seguido, el código de un solo uso que el banco manda por SMS, lo que les permite autorizar cargos fraudulentos. No se trata de una vulnerabilidad de software ni requiere que la web del restaurante haya sido hackeada.

Materias: Phishing, Fraude con tarjetas de pago, Web skimming, Suplantación de marca (typosquatting), Adversary-in-the-Middle (AiTM), Elusión de doble factor (OTP/3-D Secure), Protección de datos personales

Pedir comida por internet es un gesto rutinario: buscamos el restaurante, elegimos el menú y pagamos. Esa familiaridad es justo lo que explota la campaña «Scamwich», descubierta a principios de noviembre de 2026 por los investigadores de InfoHawk: una red de 820 páginas fraudulentas que clonan la web de pedidos de 35 cadenas de restaurantes de Estados Unidos para robar los datos de la tarjeta de crédito y, además, el código de verificación que el banco envía por SMS.

Descripción

Qué es y a quién afecta

«Scamwich» no es un fallo (una «vulnerabilidad») en un programa concreto, sino una campaña de fraude que combina dos técnicas clásicas: el phishing (suplantación de una web legítima para engañar al usuario) y el web skimming (robo de datos de pago en el momento de la compra, como quien coloca un lector clandestino en un cajero). Afecta a los consumidores que intentan pedir comida online y acaban en una de estas páginas falsas, normalmente tras pinchar en un anuncio de un buscador.

InfoHawk identificó, en dos pasadas de investigación, 820 dominios (direcciones de internet) que suplantan a 35 marcas. De ellos, 808 usan la terminación «.delivery» y el resto «.com» o «.shop». Las marcas más clonadas son Jimmy John's (404 dominios), Firehouse Subs (121), Jersey Mike's (80) y Dave's Hot Chicken (67); también figuran Chipotle, Marco's Pizza, Waffle House, Buffalo Wild Wings, Little Caesars, Panda Express, Popeyes, Five Guys, Panera Bread o Wingstop, entre otras. Según el informe, 367 de esos dominios seguían activos el 4 de noviembre de 2026.

Es importante subrayar un matiz que evita el alarmismo: no consta que las webs oficiales de los restaurantes hayan sido pirateadas. Los atacantes operan sobre una infraestructura propia y se limitan a «tomar prestado» el contenido legítimo. Las cadenas afectadas lo son como víctimas de suplantación de marca, no por una brecha en sus sistemas.

Mecánica

Cómo funciona el engaño

La investigación arrancó en un dominio sospechoso, mlckessejersstey[.]delivery, que imitaba a Jersey Mike's. Lo distintivo de la campaña es que no muestra una copia tosca de la web, sino que emplea un proxy inverso: un intermediario que, cuando la víctima visita el sitio falso, descarga en tiempo real las páginas auténticas del restaurante y se las muestra bajo el dominio del atacante. El menú, los precios y el carrito son los reales; por eso la experiencia resulta casi indistinguible de la original.

El truco está en que el atacante solo reemplaza la pantalla de pago. Según InfoHawk, se inyectan scripts (pequeños programas) que bloquean parte del código de la marca y mantienen el formulario fraudulento en su sitio. Ese formulario captura el número de tarjeta, la caducidad, el CVV, el nombre y el teléfono, y los envía al delincuente en directo (mediante socket.io, una tecnología de comunicación en tiempo real).

Lo más peligroso viene después: la web falsa pide también el código de un solo uso (OTP) que el banco envía por SMS. Esta modalidad se conoce como adversary-in-the-middle (AITM, «adversario en medio»): mientras la víctima teclea sus datos, el delincuente los está usando a la vez en el comercio o la banca reales y reenvía a la víctima el reto de seguridad del banco. Al introducir el código, la víctima puede estar validando sin saberlo una compra fraudulenta y sorteando la verificación 3-D Secure, el sistema de confirmación del pago en comercio electrónico. El tráfico hacia estas páginas se generaba con anuncios de texto en Google: el informe contabiliza al menos 47 anuncios repartidos en no menos de 46 cuentas de anunciante.

Respuesta del creador

Respuesta del sector y de las autoridades

Al no ser un fallo de un fabricante concreto, no hay un «parche» ni un aviso oficial de una empresa de software. InfoHawk indica que las páginas de transparencia de anuncios de Google muestran ahora «No se encuentra el anuncio» para los dominios revisados, lo que interpretan como que la plataforma ha retirado la publicidad asociada.

En la discusión pública del caso (Hacker News) varios profesionales señalan que las retiradas de dominios son lentas y desiguales: se mencionan reportes a hosts, registradores y a Google que quedaron sin respuesta, y debates sobre el papel de Cloudflare (que, según unos, se limita a trasladar la queja al propietario del sitio, mientras otros matizan que ofrece opciones de reenvío). No consta, por ahora, una retirada coordinada por parte de las marcas suplantadas. Conviene tomar estos comentarios como testimonios de terceros, no como hechos confirmados.

Desde la óptica jurídica, un fraude así activa en Europa, si afectara a usuarios de la UE, las obligaciones del RGPD (deber de diligencia, y eventual notificación a la autoridad de control y a los afectados ante una brecha de datos personales) y, en España, el marco de la LOPDGDD y la LSSI. Para el consumidor, el robo del código OTP puede además incidir en el reparto de responsabilidad por operaciones no autorizadas que regula la normativa de servicios de pago (PSD2), aspecto que dependerá de cada entidad y jurisdicción.

Parches y mitigaciones

Qué hacer ya

No hay actualización de software que instalar; la defensa es de comportamiento y de vigilancia. Recomendaciones para consumidores:

  • Desconfíe de los anuncios de los buscadores. Escriba usted mismo la dirección oficial del restaurante o use su aplicación oficial, en lugar de pinchar en el primer resultado patrocinado.
  • Revise el dominio. Terminaciones como «.delivery» o nombres con letras cambiadas (por ejemplo, «jlmmy» por «jimmy») son señales de alarma.
  • Nunca facilite a una web el código de un solo uso (OTP) que le envía el banco por SMS. Ese código sirve para autorizar pagos; ninguna web de pedidos legítima debe pedírselo.
  • Pague con medios que ofrezcan protección (tarjeta de crédito, pasarelas o monederos oficiales) y active los avisos de operaciones de su banco.
  • Si ya introdujo sus datos, contacte de inmediato con su banco para bloquear la tarjeta y vigilar movimientos.

Para las marcas y proveedores de pedidos online:

  • Monitorizar si su web se está cargando bajo otro dominio (señal de proxy inverso) y los checkouts que nunca llegan a la pasarela de pago real.
  • Vigilar registros de dominios parecidos (typosquatting) y la plataforma de transparencia de anuncios, y tramitar retiradas ante registradores, hosts y Google.

Fuentes