Proofpoint ha descubierto que más de un tercio de los socios oficiales de la Copa Mundial de la FIFA 2026 carecen de la protección de correo electrónico más sólida contra la suplantación de dominio, lo que potencialmente expone a los fanáticos y clientes a mensajes fraudulentos que se hacen pasar por marcas confiables.
La firma de ciberseguridad examinó 25 dominios corporativos principales utilizados por patrocinadores, proveedores, socios y seguidores asociados con el torneo. Encontró que 24 publicaron un registro DMARC básico, pero sólo 16 adoptaron la configuración más estricta de «denegar», que bloquea las bandejas de entrada de correo electrónico no verificadas.
Como resultado, el 36% de las organizaciones analizadas todavía no previenen activamente los correos electrónicos fraudulentos enviados en su nombre. Ocho dominios, o el 32% del total, permanecen en modo de monitoreo o cumplimiento parcial, una configuración que proporciona visibilidad del tráfico sospechoso pero no impide la entrega de mensajes falsificados.
Riesgo de correo electrónico
DMARC, abreviatura de autenticación, informes y correspondencia de mensajes basados en dominio, es un correo electrónico. Permite a las organizaciones determinar si un correo electrónico no autenticado
El análisis sugiere una amplia aceptación generalizada pero una aplicación total más débil. La propia FIFA tiene una política integral de exclusión voluntaria de DMARC.
La cuestión es importante porque los grandes eventos deportivos a menudo generan un aumento en la actividad en línea relacionada con entradas, viajes, mercancías y promociones. Eso les da a los estafadores una mayor cantidad de objetivos y más oportunidades para explotar la urgencia, el reconocimiento de la marca y el miedo a perderse algo.
Los seguidores australianos pueden ser particularmente vulnerables si todavía están buscando vuelos o alojamiento, ya que los precios más altos pueden hacer que las ofertas de descuento sean más atractivas. Los delincuentes suelen utilizar correos electrónicos falsos y dominios similares para hacerse pasar por aerolíneas, grupos hoteleros, servicios de entrega y marcas de consumo.
El uso cada vez mayor de la inteligencia artificial también ha cambiado el panorama de las amenazas, haciendo que los correos electrónicos de phishing y las comunicaciones de marcas falsas sean más fáciles de crear y más difíciles de detectar. Para los grandes eventos globales, esto aumenta la presión sobre las empresas conocidas para que fortalezcan los controles de autenticación de correo electrónico.
Jennifer Cheng, directora de estrategia de seguridad cibernética de APJ en Proofpoint, dice que la combinación de un mayor interés público y actividad digital crea un entorno fértil para el fraude en línea.
«Los grandes eventos deportivos mundiales, como la Copa Mundial de la FIFA, brindan las condiciones ideales para que los ciberdelincuentes exploten la emoción, la urgencia y la confianza a escala. En Asia, donde la participación digital en torno a la venta de entradas, las promociones y los servicios en línea es alta, las marcas y los consumidores deben estar alerta ante el aumento de los intentos de phishing y suplantación de identidad, en particular el lanzamiento de estas herramientas de ataque, y son más difíciles de detectar, aunque muchas marcas han tomado medidas para hacer que sus correos electrónicos
Influencia del consumidor
Los hallazgos resaltan un problema recurrente que enfrentan las marcas con los consumidores en los principales eventos internacionales. Incluso cuando una empresa ha comenzado a implementar DMARC, una política más débil aún puede permitir el paso de correo electrónico malicioso.
Esto crea riesgos no sólo para las personas sino también para las marcas que son copiadas. Un correo electrónico fraudulento que ofrece boletos, descuentos o arreglos de viaje falsos puede dañar la confianza en un patrocinador o socio, incluso si la empresa no ha sido violada.
Para los equipos de seguridad, los resultados muestran que publicar un registro DMARC es sólo el primer paso. Una prueba más significativa es si la política está diseñada para rechazar el correo sospechoso en lugar de simplemente monitorearlo.
La ruta más segura para que los aficionados compren entradas es utilizar los canales oficiales. Los consumidores también deben tener cuidado con el correo electrónico no solicitado. a mensajes, textos y llamadas, especialmente aquellos que requieren acción urgente o pago inmediato, y evitar compartir detalles financieros o contraseñas por correo electrónico o mensaje de texto.
Proofpoint también recomienda utilizar contraseñas únicas en todas las cuentas y habilitar la autenticación multifactor siempre que sea posible. Sólo 16 de los 25 dominios analizados en la base de datos investigada alcanzaron la configuración de rechazo que detiene la entrega de correos electrónicos falsificados.
