Entre el 1 de septiembre y el 1 de octubre se registraron 4,394 dominios nuevos con la palabra “vote” y 1,036 con “election”. Todavía no registran ataques, pero este tipo de sitios suele activarse en las últimas semanas antes de una elección
Check Point® Software Technologies Ltd. (NASDAQ: CHKP), pionero y líder global en soluciones de ciberseguridad, advierte que, a menos de tres semanas de las elecciones intermedias del 3 de noviembre en Estados Unidos, la frontera entre la comunicación legítima de las campañas y el fraude digital prácticamente ha desaparecido. Esa es la conclusión central de la actualización preelectoral de su informe sobre amenazas a las elecciones intermedias de 2026, elaborado por los investigadores de Check Point Exposure Management: los votantes ya no saben con certeza qué mensajes son auténticos, y los atacantes sacan provecho de esa duda.
Para México, la advertencia llega en un momento clave. El 10 de septiembre, el Instituto Nacional Electoral (INE) dio inicio al Proceso Electoral Federal 2026-2027, que concluirá el 6 de junio de 2027 con la renovación de las 500 curules de la Cámara de Diputados y de 19,609 cargos locales en 31 entidades, entre ellos 17 gubernaturas. Lo que hoy sucede en Estados Unidos ofrece pistas muy concretas sobre los riesgos que votantes, autoridades, partidos y empresas mexicanas enfrentarán en los próximos meses.
En septiembre, espectadores de un canal de televisión de Pensilvania recibieron un mensaje de texto que les pedía “verificar su perfil de votante”. El periodista local de la televisora no logró identificar al remitente y el enlace fue marcado como software malicioso. Cuando los investigadores de Check Point lo rastrearon, llegaron a una página de recaudación de fondos políticos. El mensaje tenía todas las señales de un fraude, pero su destino era una campaña.
No fue un caso aislado. Entre julio y septiembre, las autoridades electorales de Rhode Island y Washington alertaron sobre correos y mensajes de texto falsos que pedían a los ciudadanos confirmar sus datos de registro, y la Secretaría de Estado de Connecticut advirtió sobre correos que usurpaban su nombre. El de Rhode Island venía de una dirección que combinaba dos dominios reales del gobierno estatal y amenazaba con revocar una licencia en un plazo de 24 horas. El registro electoral no tiene nada que ver con una licencia, pero el ultimátum bastaba para que la gente diera clic antes de revisar.
Lo complicado es que la comunicación política legítima recurre al mismo estilo. En Texas, el condado de Hays alertó a sus habitantes sobre un folleto enviado por correo postal que imitaba un aviso oficial de registro e incluía un código QR que dirigía a un sitio web donde se recababan datos personales. Todo indica que el remitente es un grupo real que promueve el registro de votantes, cuyos envíos ya habían inquietado a las autoridades electorales de Carolina del Norte y Georgia.
Esa confusión favorece a los atacantes. Un votante que descubre que un mensaje extraño era legítimo tiene menos motivos para desconfiar del siguiente, aunque ese sí sea falso.
Un mensaje que sabe algo de quien lo recibe gana su confianza con facilidad. El 31 de agosto, un vendedor que se hace llamar Nexus anunció en un foro en ruso escaneos de documentos de identidad de más de 170 millones de personas en Estados Unidos y Canadá, entre ellos más de 153 millones de licencias de conducir, según la propia publicación. Como la mayoría de los estados pide el número de licencia para registrarse en línea como votante, un mensaje que lo mencione puede pasar sin problema por una comunicación de la oficina electoral.
Los investigadores de Check Point Exposure Management también encontraron nueve credenciales vinculadas a correos de la Junta Electoral del Estado de Oklahoma, algunas publicadas apenas en septiembre. No es posible saber si esas contraseñas siguen funcionando, pero las direcciones por sí solas ya convierten al personal electoral en un blanco más fácil. A esto se suma que, en julio, la Casa Blanca aseguró que China y actores que operan en su nombre compraron, robaron u obtuvieron mediante ataques informáticos datos de registro de hasta 220 millones de estadounidenses, aunque un funcionario reconoció que la comunidad de inteligencia no pudo confirmar cuánta información se obtuvo por cada vía.
A las pocas horas del discurso del 9 de septiembre en el que el presidente Donald Trump prometió un pago de 5,000 dólares si los republicanos conservan el Congreso, ya circulaban mensajes de texto que invitaban a “reclamarlo”. La Oficina del Sheriff del condado de Lamar, en Texas, tuvo que advertir a la población que los pagos del gobierno no llegan por enlaces en mensajes no solicitados.
El equipo también detectó sitios fraudulentos que imitaban a Kalshi y Polymarket, dos plataformas de mercados de predicción, con referencias a las elecciones intermedias, así como 281 dominios que comparten un mismo identificador de analítica web y venden artículos con nombres de candidatos de ambos partidos. No se sabe si estas tiendas son maliciosas, pero como el pago se hace en el propio sitio, un simpatizante termina capturando los datos de su tarjeta en una página administrada por alguien a quien no conoce.
El video suma otra capa. Circularon clips editados de celebridades, con logotipos de medios de noticias, que llamaban a no votar por uno de los partidos; investigadores citados por la agencia AFP los atribuyeron a una operación de desinformación rusa. Las propias campañas difundieron anuncios con versiones de sus oponentes generadas con inteligencia artificial y, de acuerdo con la Conferencia Nacional de Legislaturas Estatales (NCSL, por sus siglas en inglés), 28 de los 31 estados que tienen leyes sobre videos falsos con fines políticos solo exigen una leyenda de aviso, no una prohibición.
Los investigadores no observaron actividad dirigida contra los sistemas de votación ni contra el conteo de votos. Lo que sí registraron fueron miles de sitios web nuevos: entre el 1 de septiembre y el 1 de octubre aparecieron 4,394 que contenían la palabra “vote” y 1,036 con la palabra “election”. Hasta ahora no se ha detectado ningún intento de fraude activo en ellos, pero los dominios recién creados suelen permanecer inactivos hasta las semanas finales previas a una elección.
“Lo que está pasando en Estados Unidos es un adelanto de lo que podemos vivir en México. Hoy un ciudadano no tiene forma de distinguir, a simple vista, un mensaje legítimo de campaña de uno falso. Los dos llegan por SMS o por WhatsApp, con el mismo tono de urgencia y muchas veces con sus datos personales. Y aquí hay un factor adicional: la credencial para votar es también la identificación con la que abrimos una cuenta, contratamos un servicio o hacemos cualquier trámite, así que cualquier filtración de esa información le da al delincuente justo lo que necesita para que se perciba como oficial”, señala Miguel Hernández, Country Manager de Check Point Software Technologies México.
Hernández subraya que el riesgo no se limita a las autoridades electorales ni a los partidos: “En temporada electoral, los delincuentes se cuelgan de cualquier conversación pública, y lo mismo suplantan a una autoridad que a un banco, a una plataforma de pagos o a una tienda en línea. Las empresas no deberían esperar a que arranquen las campañas; desde hoy pueden vigilar los dominios que imitan su marca y las credenciales de sus empleados que circulan en foros clandestinos. Cuando la confianza del usuario se pierde, se pierde para todos”.
Check Point recomienda a los votantes, tanto en Estados Unidos como en México, adoptar algunos hábitos sencillos:
-
Ir directo a la fuente. Entrar al sitio oficial de la autoridad electoral en lugar de usar enlaces, códigos QR o teléfonos que vengan en un mensaje. En México, eso significa acudir a ine.mx o al portal del instituto electoral de cada estado.
-
Desconfiar aunque el mensaje parezca oficial. Que el remitente luzca legítimo o que el mensaje mencione datos personales correctos no es garantía, porque la información filtrada permite falsificar ambas cosas.
-
Frenar ante la urgencia. Tomarla como una señal para detenerse, no para actuar.
-
Proteger el número celular. Activar con la compañía telefónica las protecciones disponibles para que nadie pueda transferir la línea a otro chip o dispositivo.
A las autoridades electorales, la compañía les sugiere vigilar las credenciales expuestas de su personal y exigir autenticación multifactor. A las campañas, identificarse con claridad en cada mensaje que envíen a los votantes.
En las próximas semanas habrá más comunicación legítima de campaña y, posiblemente, más mensajes fraudulentos diseñados para imitarla. Para votantes, equipos de campaña o funcionarios electorales, tomarse unos segundos para verificar un mensaje antes de actuar puede hacer toda la diferencia.