Te llega un mail que parece de tu casino habitual: un bono de $50.000, un botón “Reclamá ahora” y una pantalla de login idéntica al original. Ponés usuario y contraseña, y acabás de regalarle tus credenciales a un atacante. Así funciona el phishing de casinos online en Argentina, y en 2026 es más frecuente que nunca.

Para entender el riesgo, hay que distinguir tres categorías que no son lo mismo. Un casino AR legítimo opera bajo dominio .bet.ar con habilitación provincial verificable (LOTBA, IPLyC, etc.). Un casino offshore con licencia internacional —sin habilitación AR pero regulado en su jurisdicción— es un tema separado. Un sitio de phishing o mirror site no es un casino: es un tercero malicioso que imita el dominio de un operador real para capturar contraseñas o datos de tarjeta. El fraude lo comete el impostor, no el operador suplantado.

La combinación de Mundial 2026, el crecimiento del mercado regulado .bet.ar y la penetración del 93 % de WhatsApp convierte a Argentina en uno de los blancos más activos de estas campañas. Esta guía cubre la anatomía del ataque, las 8 señales para detectar un dominio falso, los 5 vectores de entrega más usados y la respuesta de incidente en 6 pasos concretos.

Índice de contenidos

Qué es el phishing de casinos y por qué Argentina es blanco en 2026

El phishing es una técnica de ingeniería social que usa correo electrónico, SMS, redes sociales o mensajería para engañar al usuario y conseguir que entregue credenciales (usuario y contraseña), datos de tarjeta (PAN, CVV, vencimiento) o información personal (DNI, CBU, CUIT). El mirror site —o sitio espejo— es la réplica visual del login del operador real, alojada en un dominio falso registrado por el atacante.

Argentina concentra condiciones que los atacantes aprovechan en 2026. El mercado regulado .bet.ar tiene hoy más jugadores activos que en cualquier período anterior; más cuentas reales equivalen a más blancos creíbles para suplantar. WhatsApp tiene una penetración del 93 % y los argentinos le dedican 29 horas y 29 minutos al mes —el mayor uso per cápita del mundo—, lo que convierte el reenvío de “promos” entre contactos en un canal de viralización sin filtro editorial. El Mundial 2026 aportó una oleada adicional: campañas con marca FIFA mezclada con la marca de operadores AR locales, bonos falsos, sorteos de entradas, streaming trucho.

Lo que estos ataques tienen en común es la impersonación. El impostor usa el logo, los colores y el nombre de un operador legítimo como Betsson, BPLAY, Codere, Betano, Bet365 o BetWarrior. Esas marcas son las víctimas del esquema. Mencionarlas en esta guía tiene un único propósito: saber cómo luce el dominio oficial de cada una y detectar cuándo algo no cuadra.

Anatomía del ataque: cómo funciona el mirror site

El ciclo completo tiene cinco pasos. Entender cómo opera el atacante es la base para reconocerlo.

Paso 1 — Registro del dominio falso. El atacante registra un dominio visualmente similar al oficial. Los patrones más frecuentes en AR incluyen inserción de palabras (betsson-casino-ar.com, codere-online.net, betano-argentina.it.com), cambio de TLD (betsson.net o betsson.bet en lugar del oficial betsson.bet.ar), typosquatting con errores sutiles (bestson.bet.ar, c0dere.bet.ar con cero en lugar de “o”), y subdominios impostores (betsson-ar.com.security-login.io, donde el dominio raíz pertenece al atacante).

Paso 2 — Clonado visual. Se captura el HTML, el CSS y las imágenes del sitio oficial. El resultado es una pantalla de login idéntica al original: mismo logo, mismos colores, mismo formulario.

Paso 3 — Distribución. El mirror se difunde por email, SMS, DM en Instagram o TikTok, anuncios patrocinados de Google Ads y mensajes de WhatsApp reenviados entre contactos.

Paso 4 — Captura. Cuando el usuario ingresa sus credenciales, el atacante las almacena en su servidor. En muchos casos redirige al sitio oficial a continuación: la víctima cree que hubo un simple error de login y no advierte el robo.

Paso 5 — Monetización. Las credenciales sirven para acceder al saldo real del operador y retirarlo a una cuenta del atacante, o para vender los datos en mercados ilegales. Si el mirror simuló también el formulario de depósito, los datos de tarjeta (PAN + CVV + nombre del titular) se usan para cargos no autorizados. Pagar con cripto en un mirror implica pérdida total e irreversible: no existe chargeback para criptomonedas.

Las 8 señales del dominio falso (checklist URL)

Este es el bloque más accionable de la guía. Antes de ingresar al login de cualquier casino, tomá 30 segundos para revisar estas señales.

SeñalURL oficial (ejemplo)Patrón falso típico
TLD diferente de .bet.arbetsson.bet.arbetsson.com, betsson.net, betsson.bet
Palabras pegadas al brand con guionbplay.bet.arbplay-bonos.io, bplay-casino-ar.com
Typosquatting (letras cambiadas)betsson.bet.arbestson.bet.ar, betssn.bet.ar
Homoglifos (cirílico vs latino)Letra latina "o""о" cirílica: idéntica visualmente, diferente carácter
Subdominio impostorbetano.bet.arbetano.security-login.io
Sin aviso Res. 446/2025 en footerAviso +18 + nro LOTBA + saberjugar.gob.arFooter genérico o sin aviso obligatorio
SSL de dominio incorrectoCertificado emitido para *.bet.arCertificado emitido para betsson-casino-ar.com
Login pide datos excesivosUsuario + contraseña + 2FA opcionalDNI + número de tarjeta + CVV en la misma pantalla

Señal 1: el TLD no es .bet.ar

Los operadores habilitados por LOTBA y los organismos provinciales equivalentes operan bajo dominio .bet.ar. Si un sitio que dice ser “argentino” termina en .com, .net, .io, .it.com o .bet a secas, es señal de alerta inmediata. Verificá el dominio exacto del operador en lotba.gob.ar/operadores-habilitados antes de cualquier otra acción.

Señal 2: palabras pegadas al brand con guion

Un operador real no necesita “casino”, “ar”, “argentina”, “online”, “bonos” u “oficial” pegados con guion a su nombre. Su dominio es limpio: betsson.bet.ar, bplay.bet.ar. Variantes como betsson-casino-ar.com o codere-online.net responden al patrón clásico del mirror site.

Señal 3: typosquatting y homoglifos

Letras cambiadas, eliminadas o sustituidas por números (c0dere con cero) son detectables en pantalla grande pero pasan desapercibidas en móvil. Más difíciles son los homoglifos cirílicos: la “о” del alfabeto cirílico luce idéntica a la “o” latina pero es un carácter diferente. Si tenés dudas, seleccioná el dominio, pegalo en un bloc de notas y fijate si aparece un carácter inesperado.

Señal 4: subdominio impostor

La regla de lectura del dominio es de derecha a izquierda, hasta el primer punto antes del TLD. En betsson-ar.com.security-login.io, el dominio real es security-login.io. El subdominio que parece “Betsson” lo escribió el atacante; no garantiza nada.

Señal 5: falta el aviso obligatorio Res. 446/2025

Todo operador habilitado muestra en footer: EL JUEGO COMPULSIVO ES PERJUDICIAL PARA LA SALUD | +18, el número de habilitación LOTBA y el link a saberjugar.gob.ar. La ausencia de ese aviso indica que el sitio no está habilitado —o directamente es falso.

Señal 6: el SSL no coincide con el dominio del operador

HTTPS no garantiza legitimidad. Cualquier atacante puede obtener un certificado SSL gratis con Let’s Encrypt para cualquier dominio. Lo que importa es a qué dominio está emitido: cliqueá el candado del navegador, elegí “Más información” y verificá que el certificado cubra el dominio exacto del operador (*.bet.ar o el dominio oficial). Si está emitido para betsson-casino-ar.com, el sitio es falso.

Señal 7: el login pide datos que un operador real nunca solicita

Los operadores serios piden usuario y contraseña en el login, más 2FA opcional. Si en la misma pantalla te solicitan DNI, CBU, número completo de tarjeta y CVV, estás ante un formulario de captura masiva de datos. Cerrá el navegador sin ingresar nada.

Señal 8: el dominio no figura en el padrón LOTBA

Antes de loguearte, abrí lotba.gob.ar/operadores-habilitados en otra pestaña y buscá el dominio exacto. Si no coincide letra por letra con uno del padrón, el sitio es falso. El mismo organismo publica la lista de operadores bloqueados (lotba.gob.ar/operadores-bloqueados) como verificación negativa complementaria.

Los 5 vectores de entrega más comunes en Argentina

Saber por dónde llega el ataque es la mitad del trabajo defensivo.

Vector 1: email (phishing clásico)

Asunto con urgencia (“Confirmá tu bono de $50.000 antes de las 23:59”) o miedo (“Detectamos actividad sospechosa en tu cuenta”). El nombre de display del remitente puede decir “Betsson Argentina”, pero el dominio real puede ser noreply@betsson-ar.com. El nombre de display es manipulable; el dominio del remitente, no. Mirá el dominio completo antes de cliquear cualquier link.

Vector 2: SMS (smishing)

Mensajes del tipo “Tu cuenta tiene $25.000 disponibles, reclamalos en bit.ly/xxxxx”. Los acortadores de URL ocultan el dominio real destino. Regla fija: nunca abras un link de SMS sobre tu casino. Abrí la app oficial o tipeá la URL directamente en el navegador.

Vector 3: Instagram, TikTok y X — DM y anuncios patrocinados

Cuentas que copian el logo del operador mandan DM con bonos falsos, o corren anuncios patrocinados con landing al mirror. La cuenta oficial tiene badge de verificación, handle único y alto volumen de seguidores; la imitadora aparece con guiones o números agregados al nombre y pocas publicaciones recientes.

Vector 4: Google Ads patrocinados

Atacantes pujan por búsquedas como “bplay login” o “betsson argentina entrar”. El primer resultado patrocinado puede ser el mirror; el orgánico suele ser el real. El tag “Patrocinado” solo confirma que alguien pagó el anuncio; no verifica que sea el operador legítimo. Revisá la URL completa antes de cliquear, no solo el título del anuncio.

Vector 5: WhatsApp — mensaje reenviado entre contactos

“Mi primo cobró $200.000 en esta promo de Betano, pasale el link.” El reenvío viral funciona porque viene de un contacto de confianza. WhatsApp marca los mensajes reenviados muchas veces con doble flecha —esa es la señal de alerta. Nunca abras un link de WhatsApp sobre casinos sin verificar el dominio de manera independiente.

Qué hacer antes de cliquear: verificación en 30 segundos

La regla de oro es simple: nunca ingreses al operador desde un link recibido en email, SMS, DM o WhatsApp. Accedé siempre tipeando la URL conocida en el navegador o desde la app oficial instalada desde Play Store o App Store —verificando que el desarrollador sea el operador habilitado, no una copia.

Si tenés dudas sobre una URL recibida, el triple chequeo toma 30 segundos:

  1. El dominio termina en .bet.ar (señal de habilitación provincial en Argentina).
  2. El dominio figura en lotba.gob.ar/operadores-habilitados —verificá letra por letra.
  3. El footer del sitio muestra el aviso Res. 446/2025: EL JUEGO COMPULSIVO ES PERJUDICIAL PARA LA SALUD | +18 + número LOTBA + link a saberjugar.gob.ar.

Si alguno de los tres falla, cerrá el sitio sin ingresar ningún dato. Para el proceso completo de verificación de la habilitación regulatoria, conviene revisar también la guía de cómo verificar la licencia de un casino paso a paso.

Qué hacer si ya entregaste credenciales o datos de tarjeta

Si ya ingresaste datos en un sitio falso, la velocidad de respuesta importa. Cada hora que pasa le da al atacante más margen. El orden de los pasos no es arbitrario: va de mayor a menor urgencia.

  1. Cambiá la contraseña del operador real — en ≤ 5 minutos. Entrá al dominio oficial verificado (no al link del mail) y cambiá la clave. Si usás la misma contraseña en mail, Mercado Pago o banco, cambiala también ahí: los atacantes prueban credenciales en múltiples servicios simultáneamente (credential stuffing).
  2. Activá el doble factor de autenticación (2FA) — en ≤ 5 minutos. Usá una app de autenticación como Google Authenticator o Authy. Si el operador no ofrece 2FA, el riesgo de una nueva captura persiste hasta que cambies todas las contraseñas relacionadas.
  3. Si entregaste datos de tarjeta, llamá al 0800 de tu banco. La línea de bloqueo de emergencia opera 24/7. Pedí bloqueo preventivo y reposición. Cuanto antes lo hagas, menor es la ventana del atacante para realizar cargos.
  4. Iniciá el desconocimiento de consumo (chargeback). Para Visa y Mastercard, el estándar internacional menciona hasta 120 días desde la transacción; en la práctica, los bancos emisores argentinos aplican plazos más cortos: Visa suele aceptar hasta 60 días desde el consumo; Mastercard, hasta 30 días desde el cierre del resumen. Verificá el plazo exacto con tu banco emisor. Documentá todo: capturas del email o DM recibido, URL del mirror, fecha y monto de la transacción.
  5. Si pagaste con Mercado Pago, abrí reclamo interno en mercadopago.com.ar/ayuda/17101 o desde la app (Ayuda → “No reconozco un pago”). MP analiza historial, IP de origen y dispositivo; el proceso puede tomar hasta 30 días hábiles. La devolución no es automática: hay fallos judiciales argentinos donde se rechazó el reclamo porque las operaciones se realizaron desde el IP y el dispositivo habitual del usuario. Documentá todo y actuá lo antes posible. [Verificá plazos y condiciones vigentes en mercadopago.com.ar antes de asumir cualquier plazo].
  6. Denunciá ante las autoridades —las tres rutas están en el apartado siguiente.

Si el incidente generó estrés severo, recordá que la línea 141 de SEDRONAR es gratuita, confidencial y atiende las 24 horas. Una estafa puede ser un disparador de conductas de juego compulsivo (el impulso de “recuperar lo perdido”); la línea cubre esa situación.

Cómo denunciar: 3 rutas oficiales

Denunciar no solo te ayuda a vos: le da a los organismos la información para dar de baja el dominio falso y proteger a otros jugadores.

Ruta 1: ARCERT / CERT.ar — incidente cibernético

ARCERT es el equipo nacional de respuesta a incidentes cibernéticos (Jefatura de Gabinete de Ministros). Coordina la mitigación: notifica al registrar de dominio y al hosting del mirror para iniciar el takedown. El portal de contacto es argentina.gob.ar/jefatura/innovacion-publica/ssetic/direccion-nacional-ciberseguridad/cert-ar. Adjuntá la URL completa del sitio falso, capturas del email o SMS recibido, headers del correo si podés accederlos, y la fecha y hora del incidente.

Ruta 2: Defensoría del Consumidor — Ley 24.240

Si hubo pérdida económica y el banco o Mercado Pago no resuelve, la Defensoría del Consumidor es el siguiente escalón. La Ley 24.240 ampara al consumidor argentino frente a servicios digitales fraudulentos. Vía nacional: argentina.gob.ar/produccion/defensadelconsumidor. Para CABA: defensorba.org.ar. Para otras provincias, el ente local correspondiente.

Ruta 3: denuncia penal por delito informático

Si el daño es relevante —pérdida significativa o robo de identidad—, corresponde denuncia penal ante la UFECI (Unidad Fiscal Especializada en Ciberdelincuencia) a nivel nacional, o las fiscalías provinciales equivalentes. El trámite inicial es por argentina.gob.ar/servicio/denunciar-un-delito-informatico. Conservá toda la evidencia digital. También conviene notificar al equipo de seguridad del operador real suplantado: marcas como Betsson, BPLAY o Codere tienen interés directo en acelerar el takedown porque es su reputación la que está en juego.

Prevención de aquí en adelante

Una vez que conocés los patrones del ataque, la prevención se reduce a hábitos concretos y reproducibles:

  • Accedé siempre por URL tipeada o app oficial. Nunca desde un link recibido. La app instalada desde Play Store o App Store con desarrollador verificado es el canal más seguro.
  • Activá el 2FA en la cuenta del operador, en el mail asociado y en Mercado Pago. Un atacante que capture tu contraseña no puede entrar si necesita también el código de la app de autenticación.
  • Usá contraseñas únicas por servicio. Un gestor de contraseñas (1Password, Bitwarden, KeePass) evita que la filtración de una cuenta comprometa todas las demás.
  • Reportá los mensajes sospechosos al operador real. La mayoría tienen una casilla de seguridad o formulario para reportar impersonación; esa información acelera el takedown del mirror.
  • Informá a tu entorno. Si recibís el link por WhatsApp de un familiar, no lo reenvíes. Explicale en 30 segundos la señal más simple: si el dominio no termina en .bet.ar, no es el casino real.
  • Mantené los dispositivos actualizados. Sistema operativo, navegador y app del operador en la última versión disponible. Los parches de seguridad cierran vulnerabilidades que algunos ataques de phishing explotan como segundo paso.

Conclusión

El phishing de casinos online apunta a credenciales y datos de tarjeta usando dominios espejo que imitan a operadores AR habilitados como Betsson, BPLAY, Codere, Betano, Bet365 y BetWarrior. El fraude lo cometen los impostores; esas marcas son las víctimas de la suplantación. Las tres señales de verificación rápida son el dominio .bet.ar, el padrón de lotba.gob.ar/operadores-habilitados y el aviso Res. 446/2025 en el footer del sitio.

La regla de oro no cambia: nunca accedas al operador desde un link recibido. Siempre tipeá la URL .bet.ar conocida o usá la app oficial instalada desde las tiendas oficiales. Si ya entregaste datos, actuá rápido: cambio de contraseña, 2FA, bloqueo de tarjeta con el banco, chargeback, reclamo en MP y denuncia ante ARCERT y la Defensoría del Consumidor.

En Yogonet, donde Diego Fiz —CEO y fundador, con más de dos décadas en periodismo iGaming latinoamericano— cubre el mercado AR desde 2002, seguimos de cerca el avance de estos esquemas. Lo que vemos hoy es un mercado regulado en expansión que, precisamente por eso, atrae también campañas de impersonación más sofisticadas. La mejor protección sigue siendo la más simple: verificá el dominio antes de ingresar cualquier dato.

EL JUEGO COMPULSIVO ES PERJUDICIAL PARA LA SALUD | +18. Juego responsable: saberjugar.gob.ar | 0800 666 6006. Línea SEDRONAR (adicciones): 141 (gratuita, 24 horas).