En junio, Google demandó a los operadores detrás de Outsider, un kit de phishing como servicio vinculado a un actor de amenazas conocido como ChenLun, y la División Cibernética del FBI abrió la Operación Ghost Hook al día siguiente para desmantelarlo. Servidores confiscados. Una tienda en Shopify vinculada a la operación dada de baja. Unos $100,000 retirados de sus billeteras de pago. Miles de dominios registrados a través de proveedores estadounidenses entregados. Sobre el papel, eso es exactamente el aspecto que debería tener un desmantelamiento de phishing. La investigación de Group-IB, publicada el 3 de septiembre, encontró lo que realmente pasó después: más de 700 dominios de phishing nuevos, construidos por afiliados que nunca perdieron el acceso al kit en sí.
Un Kit Construido Para Sobrevivir a Su Propio Vendedor
Antes del desmantelamiento, Outsider ya operaba a escala industrial. Group-IB rastreó más de 100,000 páginas de phishing en 54 o más países entre diciembre de 2025 y mayo de 2026, construidas a partir de una biblioteca de 267 plantillas que suplantaban a bancos, empresas de envíos y grandes marcas en línea. Google, por su parte, detectó más de 1.5 millones de URLs de phishing vinculadas al kit entre noviembre de 2025 y abril de 2026, y había asociado más de 10,000 dominios únicos a él antes de que comenzara la Operación Ghost Hook.
El verdadero producto del kit nunca fue un solo sitio web. Era una suscripción. ChenLun distribuía Outsider a través de un ecosistema en Telegram: un canal de anuncios para actualizaciones, un grupo exclusivo para afiliados que habían pagado por el acceso, un grupo público de discusión y un bot que gestionaba las compras y respondía preguntas de forma automática. Cada afiliado alquilaba el software, generaba sus propias páginas de phishing a partir de la biblioteca de plantillas y registraba sus propios dominios. El vendedor construyó la herramienta. Miles de operadores independientes aportaron la infraestructura.
Outsider también tiene capacidad de adversario en el medio, o AiTM: puede colocarse entre la víctima y el flujo de inicio de sesión real, sirviendo dinámicamente el tipo de desafío de autenticación multifactor que la cuenta de esa víctima realmente usa, ya sea un código por SMS, una contraseña de un solo uso por correo electrónico, un PIN o una notificación de una aplicación autenticadora, y puede redirigir a las víctimas a pasos anteriores para pedir más datos de tarjetas de pago. Eso es lo que hace que el kit valga lo suficiente como para sobrevivir a un desmantelamiento federal: no solo roba una contraseña, captura el segundo factor en el momento exacto en que se emite uno real.
Lo Que la Operación Ghost Hook Realmente Eliminó
La acción del FBI apuntó a todo lo que una confiscación policial está diseñada para alcanzar: servidores centralizados, una tienda de comercio, un fondo de dinero y dominios registrados a través de proveedores sujetos al proceso legal estadounidense. Cada uno de esos es un punto único, que existe en un solo lugar, bajo el control de una sola entidad.
Nada de eso toca la parte del negocio que genera nuevos dominios de phishing. Cada afiliado que ya había pagado por el acceso todavía tenía el software, las plantillas y el canal de Telegram que le decía que el kit seguía activo. Los hallazgos de Group-IB de septiembre muestran exactamente lo que eso significó en la práctica: más de 700 dominios adicionales registrados y puestos en uso después de la confiscación, operados por afiliados que nunca fueron nombrados en la demanda y cuyas cuentas nunca fueron tocadas por la Operación Ghost Hook. La infraestructura del vendedor cayó. La red de afiliados no.
Por Qué DMARC Nunca Tuvo un Dominio Que Proteger Aquí
Vale la pena ser precisos sobre lo que DMARC cubre y lo que no en un caso como este, porque las dos cosas se confunden con facilidad. DMARC protege el propio nombre de un dominio de ser falsificado en el encabezado From de un correo. Si un atacante intenta enviar correo afirmando venir de tu dominio, y tu dominio aplica DMARC con p=reject, ese mensaje se rechaza antes de llegar a una bandeja de entrada.
Eso no es lo que hacen los 700 dominios nuevos de Outsider. No son versiones falsificadas del dominio de envío real de un banco o una empresa de envíos. Son dominios completamente nuevos que los propios afiliados registraron, que sirven como la página de aterrizaje hacia la que se atrae a una víctima, típicamente por SMS, aunque las mismas plantillas y el mismo motor AiTM funcionan de forma idéntica detrás de un enlace entregado por correo electrónico. DMARC no tiene jurisdicción sobre un dominio que nadie está suplantando en un encabezado From. No puede marcar como sospechoso un dominio imitador recién registrado, y no tiene nada que decir sobre lo que la página de inicio de sesión de ese dominio le hace al código multifactor que una víctima escribe en ella. Toda esa cadena, desde el señuelo hasta la captura de la credencial y el relevo de MFA en tiempo real, ocurre en la capa posterior a la que DMARC inspecciona.
Qué Significa Esto Para Tu Programa
No trates una demanda o un desmantelamiento como el fin de una exposición. La Operación Ghost Hook eliminó la infraestructura central del vendedor, no la red de afiliados que usa el kit. Sigue monitoreando dominios imitadores y páginas de phishing que suplanten tu marca mucho después de que cualquier acción de las autoridades sea noticia.
Mantén la aplicación de DMARC enfocada en lo que realmente puede detener. Una política estricta de p=reject en tus propios dominios de envío cierra la puerta a encabezados From falsificados. Nunca verá un dominio recién registrado que jamás dijo ser tuyo, así que no puede ser tu única defensa contra la suplantación de marca.
Trata AiTM como una amenaza de MFA en tiempo real, no solo como robo de credenciales. Un kit que sirve dinámicamente desafíos por SMS, correo electrónico, PIN y aplicación está diseñado específicamente para vencer la suposición de que la autenticación multifactor vuelve inofensiva una contraseña robada.
Vigila la infraestructura de phishing que sobrevive al arresto de su propio operador. Un modelo de suscripción con miles de afiliados independientes significa que una sola acción legal, por grande que sea, solo elimina un nodo dentro de una red mucho más amplia.
La Conclusión
La Operación Ghost Hook causó daño real: servidores reales confiscados, dinero real recuperado, una tienda real cerrada. Lo que no pudo hacer fue llegar a 700 cuentas de afiliados que nunca tocaron la infraestructura confiscada y detenerlas de registrar nuevos dominios esa misma tarde. Esa brecha entre la entidad que una demanda puede nombrar y la red que sigue operando sin ella es la misma brecha junto a la que DMARC siempre ha estado, no dentro de ella. DMARC asegura el nombre que los atacantes intentan robar. Nunca fue diseñado para ver el nombre que inventan en su lugar.
DMARC confirma si un mensaje que dice venir de tu dominio realmente tenía la autoridad para enviarlo. No puede decirte cuándo la red de afiliados de un kit de phishing ha registrado 700 dominios imitadores nuevos, ni que uno de esos dominios está ejecutando un relevo en tiempo real contra el segundo factor que usan tus destinatarios. Excello Mail convierte tus reportes agregados de DMARC en un registro claro y continuo de cada dominio y servicio que envía en tu nombre, para que tu propia autenticación se mantenga sólida mientras tu equipo vigila la suplantación que ocurre en una infraestructura que DMARC nunca fue diseñado para ver. Regístrate gratis en Excello Mail y construye esa base.