Una red de 72 sitios web falsos está suplantando la identidad de aplicaciones populares de Windows 11 en los resultados de búsqueda de Google, poniendo en riesgo a millones de usuarios que descargan software de forma habitual sin verificar la fuente. La investigación, documentada por la firma de ciberseguridad Check Point y recogida por medios especializados, revela una operación de 'SEO poisoning' o envenenamiento de posicionamiento web que consigue situar páginas fraudulentas por encima —o muy cerca— de las webs oficiales de los desarrolladores legítimos.
La trama se destapó cuando Bogdan Pătrăucean, creador de la aplicación Wintoys, detectó en Google una página que utilizaba el nombre y una versión antigua del logotipo de su herramienta, junto con textos genéricos generados con inteligencia artificial. A partir de ese hilo, los investigadores desentrañaron una red de 72 dominios que imitan a software ampliamente conocido: Microsoft PowerToys, CrystalDiskMark, EasyBCD, Lively Wallpaper, SignalRGB y la propia Wintoys, entre otros. Tal y como señala el portal Windows Latest, citado por 20minutos, el hallazgo supera los 70 dominios identificados, una cifra que coincide con las pesquisas de Check Point recogidas por MuyComputer.
El mecanismo de estas campañas resulta especialmente sofisticado. En una primera fase, los sitios fraudulentos enlazan a las fuentes legítimas, lo que les permite parecer inocuos, ganar tráfico y escalar posiciones en los rankings del buscador. Una vez consolidados, modifican el comportamiento del botón de descarga mediante scripts que redirigen al visitante a través de sistemas capaces de decidir qué contenido mostrar en función de la ubicación geográfica, el navegador empleado o incluso de si el visitante parece ser un investigador de seguridad. Check Point ha vinculado esta infraestructura con amenazas ya conocidas como RemusStealer, un malware orientado al robo de credenciales y monederos de criptomonedas, y AnimateClipper, capaz de sustituir direcciones de wallets copiadas al portapapeles.
Los casos confirmados de infección dan cuenta de la gravedad del problema. Los responsables de SignalRGB han alertado sobre páginas que suplantaban su proyecto y distribuían malware, mientras que el desarrollador de Lively Wallpaper confirmó que un dominio falso ofrecía un instalador manipulado con componentes maliciosos que establecían acceso persistente al equipo. No todos los 72 dominios han sido verificados como distribuidores de malware —un matiz importante para no satanizarlos indiscriminadamente—, pero varios de ellos están relacionados con campañas activas y todos forman parte de una misma operación de suplantación.
La técnica empleada se conoce como 'SEO poisoning', una estrategia cada vez más habitual entre los ciberdelincuentes para situar sitios maliciosos en las primeras posiciones de motores como Google. Que una web aparezca en primer lugar no implica que sea legítima, recuerdan los expertos. Las dos fuentes consultadas coinciden en que el hábito de confiar automáticamente en los resultados top del buscador es precisamente el eslabón que aprovechan los atacantes, sin necesidad de que el usuario realice ninguna acción imprudente.
En cuanto a las recomendaciones, tanto MuyComputer como 20minutos subrayan la conveniencia de descargar software únicamente desde la web oficial del desarrollador o desde su repositorio en GitHub cuando proceda. También aconsejan revisar el dominio con atención, comprobar la firma digital del ejecutable y, ante cualquier duda, analizar el archivo en servicios como VirusTotal antes de ejecutarlo. Ninguna de estas comprobaciones ofrece una garantía absoluta, pero sí reduce de forma significativa el riesgo de infección.
El caso pone de manifiesto las limitaciones de las protecciones integradas en Windows 11 —Microsoft Defender, SmartScreen y Smart App Control— y refuerza la idea de que la verificación humana sigue siendo la barrera más eficaz. Mirar dos veces la barra de direcciones ha dejado de ser una práctica reservada a usuarios paranoicos para convertirse en una costumbre recomendable para cualquiera que instale software en su ordenador. La situación actual invita a la máxima prudencia: hasta que Google refine sus mecanismos de detección de páginas suplantadas, la responsabilidad de distinguir lo legítimo de lo falso recae, en última instancia, en el propio usuario.