Identificamos una campaña de phishing que abusa de mecanismos legítimos de comunicación y del contexto transaccional de marketplaces y plataformas de comercio electrónico para establecer confianza con las víctimas y posteriormente conducirlas hacia infraestructura fraudulenta.
La actividad presenta indicios de operación durante al menos seis meses, con infraestructura orientada a múltiples marcas, países y verticales.
Para su seguimiento denominamos esta actividad:
TRUSTMARKET
TTPH | Trusted Transaction Phishing
TTPH corresponde al patrón operacional observado: utilización de comunicaciones, interacciones o contextos transaccionales legítimos para inducir a una víctima a interactuar con infraestructura de phishing mediante pretextos asociados a pagos, ventas, verificaciones, envíos o recepción de fondos.
🇨🇱 Chileautos: el principal hallazgo
La investigación comenzó con la identificación de una campaña dirigida a usuarios de Chileautos, donde los actores estarían utilizando los mecanismos de comunicación de la plataforma para contactar a vendedores y posteriormente inducirlos a acceder a sitios fraudulentos.
El mensaje:
Identificamos un phishing kit asociado al dominio:
chileautos[.]veriify937[.]icu
Durante el análisis se observaron:
- Kit multilenguaje.
- Comentarios y artefactos en ruso.
- Personalización específica para la marca.
- Flujos asociados a verificación, pago y recepción de fondos.
- Características compatibles con la reutilización del modelo contra otras marcas.
La presencia de contenido en ruso constituye un artefacto relevante para correlación de infraestructura y análisis de procedencia, pero no permite atribuir la operación a un actor ruso.
El aspecto relevante desde CTI es que este modelo de fraude, ampliamente observado contra plataformas internacionales, está siendo utilizado en una plataforma del ecosistema digital chileno.
🌎 Targeting observado
La infraestructura analizada presenta referencias a múltiples marcas y verticales. La distribución geográfica evidencia un targeting multinacional:
| Marca | País / mercado | Rubro |
|---|---|---|
| Chileautos | 🇨🇱 Chile | Automotive / Marketplace |
| eBay | 🇺🇸 Estados Unidos | E-commerce |
| Poshmark | 🇺🇸 Estados Unidos | Marketplace |
| Zillow | 🇺🇸 Estados Unidos | Real Estate |
| Vinted | 🇱🇹 Lituania / Europa | Marketplace |
| Kleinanzeigen | 🇩🇪 Alemania | Marketplace |
| Marktplaats | 🇳🇱 Países Bajos | Marketplace |
| Booking.com | 🇳🇱 Países Bajos / Global | Travel / Reservations |
| Depop | 🇬🇧 Reino Unido | Marketplace |
| BlaBlaCar | 🇫🇷 Francia / Global | Mobility |
| Carousell | 🇸🇬 Singapur / Asia | Marketplace |
| Fincaraíz | 🇨🇴 Colombia | Real Estate |
La presencia de una marca en la infraestructura no implica compromiso de la plataforma. En este contexto corresponde a suplantación, tematización o utilización de la identidad visual y transaccional de la marca.
La selección de objetivos es relevante porque muestra que el modelo puede adaptarse a diferentes procesos de confianza:
venta de productos → venta de vehículos → reservas → pagos → recepción de fondos → validación de cuentas → operaciones inmobiliarias.
🧩 TTPH | Trusted Transaction Phishing
La cadena operacional identificada podría resumirse así
El elemento diferencial es el abuso del contexto de confianza.
La víctima puede recibir inicialmente una comunicación dentro de una plataforma que realmente utiliza.
El atacante posteriormente introduce un pretexto compatible con la operación que la víctima está realizando:
- Confirmación de pago.
- Recepción de fondos.
- Validación de una venta.
- Confirmación de identidad.
- Verificación de cuenta.
- Confirmación de envío.
- Liberación de fondos.
El pretexto cambia según la plataforma. La técnica permanece.
🔎 Infraestructura y patrones
Los dominios observados presentan un patrón de naming orientado principalmente a procesos transaccionales:
verificationvalidationconfirmationpaymentpayoutreceivefundssoldconfirmordersupportcheckoutapproveprocedure
Este patrón es consistente con transaction-themed phishing, donde la infraestructura intenta representar una etapa normal del proceso comercial o transaccional.
También se observan:
- Variaciones numéricas en subdominios.
- Dominios con apariencia de procesos legítimos.
- Diversidad de TLD.
- Infraestructura específica por marca.
- Kits multilenguaje.
- Indicadores potencialmente reutilizables entre campañas.
La infraestructura debe analizarse mediante correlación de DNS, certificados, hosting, registradores, timestamps, HTML, JavaScript, favicons, recursos externos y fingerprints de los kits.
🔴 Expansión del modelo
El uso de esta técnica contra grandes plataformas internacionales ya cuenta con antecedentes.
Lo relevante de esta investigación es que el mismo patrón operacional aparece asociado a Chileautos, incorporando un objetivo perteneciente al ecosistema chileno.
Esto permite plantear una hipótesis de seguimiento:
TRUSTMARKET corresponde a un modelo de fraude en expansión, en el que los operadores reutilizan técnicas, infraestructura y pretextos transaccionales para incorporar nuevas marcas, mercados y verticales.
La expansión observada no debe medirse únicamente por cantidad de dominios.
Debe analizarse mediante:
nuevas marcas + nuevas geografías + reutilización de infraestructura + evolución de phishing kits + cambios en los pretextos.
🛡️ Implicaciones para SOC y CTI
El patrón observado requiere ampliar el monitoreo tradicional de phishing.
Detección de infraestructura
Buscar combinaciones:
brand + paymentbrand + verificationbrand + payoutbrand + confirmationbrand + receivefunds
Correlación
Relacionar:
- DNS.
- Certificados.
- ASN y hosting.
- Registradores.
- Nameservers.
- Favicon.
- HTML/JS.
- URLs y paths.
- Fingerprints de phishing kits.
Digital Risk Protection
Incorporar al monitoreo:
- Marketplace abuse.
- Brand impersonation.
- Transaction-themed domains.
- Mensajería fraudulenta.
- Phishing kits multilingües.
- Nuevas marcas chilenas incorporadas al patrón.
El dominio es un IOC. La TTP es el indicador estratégico.
🚨 Conclusión
TRUSTMARKET combina:
Marketplace Abuse + Brand Impersonation + Transaction-Themed Social Engineering + Phishing Infrastructure
La evidencia disponible muestra un targeting multimarca, multinacional y multivertical, con indicios de actividad sostenida durante al menos seis meses.
El elemento de mayor relevancia para Chile es la incorporación de Chileautos, donde observamos el uso de esta metodología contra usuarios de una plataforma local.
El phishing ya no depende exclusivamente de falsificar una comunicación.
También puede comenzar dentro de una comunicación legítima y aprovechar el contexto de confianza de una transacción real.
🔎 Indicadores de Compromiso
Chileautos
chileautos[.]veriify937[.]icu
eBay
ebay[.]approveprocedure[.]shop
ebay6972[.]inspectionprocedure[.]shop
Poshmark
poshmark[.]confirmingprocess[.]help
poshmark[.]confirmationprocess[.]info
poshmark[.]controlchecklist[.]shop
poshmark[.]form83613[.]cfd
poshmark[.]id54812[.]help
poshmark[.]id85132[.]help
poshmark[.]sales-validation[.]info
poshmark[.]soldconfirm[.]shop
poshmark[.]ordersupportcenter[.]info
Kleinanzeigen
kleinanzeigen[.]7389254[.]com
kleinanzeigen[.]9183746[.]net
kleinanzeigen[.]92375235[.]com
kleinanzeigen[.]9013182[.]com
kleinanzeigen[.]8659021[.]one
kleinanzeigen[.]6891892[.]cc
kleinanzeigen[.]6151591[.]app
kleinanzeigen[.]8263791[.]cc
kleinanzeigen[.]8793812[.]biz
Marktplaats
marktplaats[.]payout-validation[.]click
marktplaats[.]payout-check[.]click
marktplaats[.]sell-safe[.]click
marktplaats[.]id7213[.]com
marktplaats[.]listing8723[.]com
marktplaats[.]sales-validation[.]info
Vinted
vinted[.]validation-check[.]click
vinted[.]id54932[.]sbs
vinted[.]com-app34762[.]info
vinted[.]form83613[.]cfd
vinted[.]id54812[.]help
vinted[.]zestnity[.]com
vinted[.]id94672[.]com
vinted[.]id-3483661[.]com
vintedj3vzd1xsvqz6215332[.]receivefunds[.]shop
vinted3m4kpl38p61u139396[.]receivefunds[.]shop
vintedjoigy02cxz7t67530[.]receivefunds[.]shop
Depop
depop[.]soldconfirm[.]shop
depop[.]shop-verification[.]sbs
Zillow
zillow[.]verification2901002[.]cyou
zillow[.]82091009744[.]cyou
zillow[.]23388490[.]cyou
BlaBlaCar
fr[.]blablacar[.]world
Carousell
carousell[.]ordder78623[.]click
Fincaraíz
fincaraiz[.]31238709[.]cyou
Infraestructura sin atribución de marca confirmada
k8wl14[.]verificationlink[.]help
objxa3[.]confirmingprocess[.]help
bskao[.]approveprocedure[.]shop
l6al9fclnb[.]verify-payment[.]info
dba[.]payout-check[.]click
6891892[.]cc
complete[.]form192380[.]shop
bestellung[.]6891891[.]trade
6124109[.]com
complete[.]19238757610[.]cyou
complete[.]receivefunds[.]shop
order-id1839343[.]help
kindred[.]checkout-control[.]click
bonanza[.]sales-validation[.]info
insomnia[.]sales-validation[.]info
donnons[.]sales-validation[.]info
🔬 Threat Research
Investigadores: Gabriela Sepúlveda · Germán Fernández
Unidad: Cyber Threat Intelligence, CronUp
Campaign Tracking: TRUSTMARKET
Technique: TTPH | Trusted Transaction Phishing
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
