Distinguir lo real de lo falso en internet se ha vuelto un verdadero reto. Un sitio que luce legítimo, con el logo correcto y mensajes bien redactados, puede ser en realidad una trampa para robar tu información personal. Los ciberdelincuentes detrás de esta nueva estafa han perfeccionado sus métodos: replican con precisión el diseño visual de Netflix, utilizan tipografías idénticas, colores oficiales y mensajes que imitan el tono de comunicación de la plataforma. Incluso los formularios y botones tienen la misma apariencia. No es casualidad: los hackers aplican principios de diseño UX/UI (experiencia y diseño de interfaz de usuario) para que las páginas falsas sean intuitivas, familiares y generen confianza al primer vistazo.
Esta semana, se lanzó una campaña masiva de suplantación de identidad que utiliza estas copias casi perfectas de Netflix para engañar a los usuarios en México. Al menos 74 dominios falsos han sido creados recientemente, todos imitando el diseño, lenguaje y estilo de la plataforma de streaming para obtener credenciales de acceso y datos bancarios a través de mensajes SMS.
Estas páginas fraudulentas están alojadas en dos infraestructuras distintas, cada una con una dirección IP específica, y muchas siguen activas al día de hoy, 15 de mayo de 2025. Con más de 13.87 millones de usuarios de Netflix en el país, el riesgo de caer en esta estafa es más alto de lo que imaginas.
Dos redes, una misma estafa contra usuarios de Netflix
No estamos hablando de un par de páginas falsas sueltas, sino de una operación bien organizada y coordinada. Hay decenas de sitios web que imitan a Netflix con una precisión inquietante, y todo arranca con algo tan simple como un mensaje de texto.
Una de las direcciones IP analizadas aloja al menos dos dominios que han sido usados directamente en estos SMS fraudulentos: “nfiix-resub.com” y “resub-nfiix.com”. Mientras tanto, otra IP distinta hospeda más de 70 sitios falsos con nombres como “netflix-payement.com”, “netflixfacturacion.com” o “netflix-rec.com”. Muchos de ellos han estado activos desde abril y mayo de 2025, lo que deja claro que esta operación es reciente… y está lejos de terminar.
Los servidores donde se alojan estos sitios están montados sobre servicios como Hostinger y NameSilo. Son proveedores populares entre los estafadores porque permiten registrar dominios con muy poca verificación y a bajo costo. Esto les permite rotar enlaces constantemente: si uno se cae o es bloqueado, ya tienen otros listos para seguir con el fraude sin interrupciones.
Conoce más sobre: ¿Cuáles Son los Tipos de Ataques de Phishing y Cómo Protegerte?
De Cozumel directo a tu celular: Así llega el fraude
Uno de los hallazgos más reveladores es que una de las IP utilizadas en esta red de sitios falsos se relaciona con números telefónicos que comienzan con lada 987, que corresponde a la región de Cozumel, Quintana Roo. Desde finales de 2024, ya se habían detectado intentos de fraude desde esa misma serie de números, en campañas que suplantaban a bancos como Citibanamex o plataformas como Uber Eats.
Ahora, los mensajes se enfocan en usuarios de Netflix, lo que sugiere que esta red de estafadores ha ido evolucionando con el tiempo, cambiando de marca suplantada, pero manteniendo el mismo objetivo: obtener tus datos personales y bancarios.
La nueva ola de SMS comenzó a circular a inicios de mayo de 2025. Los mensajes, enviados desde números mexicanos, alertan sobre un supuesto “problema con tu perfil de Netflix” y te piden que actualices tus datos urgentemente a través de un enlace. El texto suele decir algo como:
“Netflix: problema de pago en su perfil. Verifica y actualiza tus datos antes del [fecha] aquí: [dominio]”.
Está diseñado para que actúes sin pensar, con el típico sentido de urgencia que usan los estafadores. Y si haces clic, te encuentras con una página que luce igual a Netflix... pero que está ahí solo para robar tu información.
Así funciona la estafa: Del mensaje al vaciado de tu cuenta
Todo empieza con un mensaje de texto que parece urgente. Si haces clic en el enlace, aterrizas en una página que, a simple vista, parece la de Netflix de verdad. Tiene el logo correcto, los colores, las fuentes… incluso un CAPTCHA falso que te hace pensar que es un sitio seguro.
Primero te piden que inicies sesión con tu correo y contraseña. Hasta ahí, todo parece normal. Pero justo después, te aparece un mensaje diciendo que necesitas actualizar tu información de pago, y te muestran un formulario para poner los datos de tu tarjeta.
Ese formulario está hecho con detalle: no solo imita a la perfección el estilo de Netflix, sino que verifica si los datos que estás ingresando son reales. Y si los pones, lo siguiente que ves es una supuesta “pantalla de validación” que te pide esperar unos segundos.
Pero la verdad es que, en ese momento, ya te robaron la información. No hay confirmación, ni acceso a tu cuenta, ni nada. Tus datos fueron enviados directamente a los estafadores, y si no actúas rápido, el siguiente paso puede ser el vaciado de tu cuenta bancaria.
Conoce más sobre: Clic de Pánico: El Nuevo Fraude que Suplanta a Netflix
Un fraude que no para de crecer
Esta estafa no es algo aislado ni nuevo. En menos de tres meses, se han creado decenas de sitios falsos, y abril y mayo de 2025 fueron los momentos con más actividad. Casi todos los dominios siguen un mismo patrón: usan palabras como “account”, “renew”, “netflix”, “perfil” o “pago”. A veces, incluso meten errores a propósito (como escribir “nétflx” o “payement”) para evitar que los filtros del navegador o el antivirus los detecten.
Aunque Netflix ha dejado claro que nunca te pedirá tus datos bancarios por mensaje de texto o correo electrónico, la realidad es que muchas personas siguen cayendo. ¿Por qué? Porque los sitios están muy bien hechos y los mensajes llegan desde números locales, lo que genera confianza.
Esta mezcla de ingeniería social bien pensada, mucha infraestructura digital y envío masivo desde teléfonos mexicanos hace que este tipo de fraudes no solo sean efectivos, sino cada vez más comunes. Y lo peor: están en constante evolución.
Los sitios están alojados en dos direcciones IP diferentes, y varios de ellos siguen activos y funcionando hasta mayo de 2025.
