La edición de noviembre del Cyber Wow, que se realizó del 2 al 5 de noviembre, volvió a llenar los celulares de miles de peruanos con ofertas, cupones y mensajes de "últimas horas". Ese mismo escenario es el que aprovechan los ciberdelincuentes en cada campaña: páginas que copian a tiendas reconocidas y enlaces trampa diseñados para que el comprador entregue sus datos bancarios sin darse cuenta.
La propia web oficial del evento pide ingresar a las tiendas solo desde cyberwow.pe. Y aunque la campaña ya terminó, el riesgo sigue activo.
El Cyber Wow mueve millones y atrae a los estafadores
El evento, organizado por el IAB Perú, se ha convertido en una de las vitrinas digitales más grandes del país. Según cifras del gremio recogidas por Gestión, en la edición de noviembre de 2025 las ventas crecieron más de 161 % frente a las cuatro semanas previas y más de 2,5 millones de tarjetas hicieron transacciones. Para la edición de julio de 2026, Infobae Perú reportó más de 1200 ofertas, 250 marcas participantes y más de 3,1 millones de tarjetas activas.
Ese volumen es exactamente lo que buscan los ciberdelincuentes: mucha gente comprando rápido, con poca paciencia para revisar detalles. Mercado Negro recogió la advertencia de Gallagher Perú de que el phishing y las páginas falsas están entre los riesgos más comunes para quienes compran durante estas campañas.
Cómo funcionan las páginas clon y los enlaces falsos
La mecánica es sencilla pero efectiva. El estafador copia el diseño de una tienda conocida, con su logo, sus colores y sus fotos de productos, y lo publica en un dominio parecido al original, con una letra cambiada o una terminación distinta. Luego difunde el enlace por SMS, WhatsApp, correo o anuncios pagados en redes sociales, casi siempre con un descuento difícil de creer y un contador que presiona a comprar antes de que se agote.
Cuando la víctima hace clic, aterriza en una página que luce idéntica a la real. Agrega el producto al carrito, llena el formulario de pago y presiona comprar. En ese momento, el número de tarjeta, la fecha de vencimiento, el código de seguridad y muchas veces el DNI y la dirección viajan directo al atacante. El pedido, por supuesto, nunca llega.
Algunas variantes ni siquiera venden nada: piden iniciar sesión para reclamar un cupón y se quedan con el usuario y la contraseña de la cuenta en la tienda o del correo electrónico. Es la misma técnica que ya vimos en las campañas de phishing dirigidas a empresas peruanas, solo que con la fachada de una tienda en campaña.
La inteligencia artificial hace más creíble el engaño
Las faltas de ortografía y los diseños torpes ya no son una señal confiable. Diario Correo advirtió en abril, a propósito del Cyber Wow 2026, que los intentos de fraude son cada vez más sofisticados y que la inteligencia artificial permite generar mensajes y sitios prácticamente indistinguibles de los legítimos. El mismo medio indicó que las redes sociales ya concentran el 34 % de los fraudes digitales, por encima del correo electrónico.
Gestión también ha reportado que los estafadores usan publicidad segmentada para mostrar sus anuncios falsos justo a las personas que están buscando ofertas, lo que hace que el engaño llegue en el momento de mayor interés.
Qué pasa cuando entras a una página falsa
El daño no siempre se limita a una compra perdida. Dependiendo de lo que el usuario haga en el sitio fraudulento, las consecuencias pueden escalar:
- Cargos no reconocidos. Con los datos completos de la tarjeta, los delincuentes realizan compras o transferencias en cuestión de minutos.
- Robo de cuentas. Si la contraseña ingresada se repite en otros servicios, el atacante puede acceder al correo, la banca por internet o las redes sociales de la víctima.
- Suplantación de identidad. El DNI, la dirección y el teléfono sirven para nuevos fraudes, como las llamadas de falsos ejecutivos o de falso soporte técnico que ya conocen datos reales de la persona.
- Descarga de malware. Algunos enlaces instalan aplicaciones o archivos maliciosos que roban la información guardada en el navegador.
La magnitud del problema se refleja en las cifras oficiales: según datos del Ministerio Público recogidos por La República, entre enero y julio de 2026 se registraron 29 118 denuncias por delitos informáticos en el Perú, más de 130 al día. De ellas, 19 602 correspondieron a fraude informático y 7431 a suplantación de identidad.
El riesgo no termina cuando acaba la campaña
Pasado el Cyber Wow empieza una segunda ola de engaños. Quienes compraron esperan entregas, y los estafadores lo saben: envían mensajes sobre un pedido retenido, un pago pendiente de envío o una dirección incorrecta, con un enlace para regularizar. Es el mismo formato de los SMS que suplantan a entidades del Estado, pero esta vez a nombre de la tienda o del courier.
Además, el Black Friday y el Cyber Monday están a la vuelta de la esquina, y las mismas páginas clon suelen reciclarse con nuevos nombres de campaña. Cualquier mensaje sobre un pedido debe verificarse ingresando directamente a la aplicación o a la web oficial de la tienda, nunca desde el enlace recibido.
El equipo de trabajo también es un blanco
Muchas compras se hacen desde la laptop o el celular del trabajo, en horario de oficina. Para una empresa o una entidad pública, eso significa que un clic en una página falsa puede terminar en credenciales corporativas robadas o en un equipo infectado dentro de la red interna. Una contraseña reutilizada entre la tienda en línea y el correo institucional es suficiente para abrir la puerta.
Por eso, además de la concientización, conviene contar con una capa técnica que actúe sola. Un filtro web bloquea el acceso a los dominios fraudulentos conocidos antes de que el usuario llegue a cargar la página, y una solución de protección de endpoints contiene los archivos o procesos sospechosos antes de que comprometan la información de la organización.
Señales para reconocer una tienda falsa
- Entra siempre por la vía oficial. Las marcas participantes se pueden consultar en cyberwow.pe; desde ahí, o escribiendo tú mismo la dirección de la tienda, nunca desde un enlace recibido.
- Revisa el dominio letra por letra. Una tilde, un guion o una terminación extraña delatan el engaño. El candado de HTTPS por sí solo no garantiza que el sitio sea legítimo.
- Desconfía de los precios imposibles. Un descuento muy superior al del resto de tiendas es una señal de alerta.
- Mira los comentarios del anuncio. Las cuentas fraudulentas suelen tenerlos desactivados o llenos de quejas.
- Activa la verificación en dos pasos y usa contraseñas distintas para cada servicio.
- Evita las redes wifi públicas para pagar y no guardes la tarjeta en sitios poco conocidos.
Qué hacer si ya caíste en una página falsa
Lo primero es llamar al banco para bloquear la tarjeta y desconocer los cargos. Después, cambiar de inmediato la contraseña que se usó en el sitio fraudulento y en cualquier otro servicio donde se repita. Conviene guardar capturas del sitio, del mensaje recibido y de los movimientos, y presentar la denuncia ante la Policía Nacional del Perú.
Si el problema es con un comercio formal, Indecopi atiende reclamos a través de Reclama Virtual, al 224 7777 en Lima y al 0800 4 4040 desde regiones, según informó El Peruano.
Conclusión
El Cyber Wow no crea el fraude, solo le da el mejor momento del año: miles de personas comprando rápido, en el celular, con ofertas que vencen en minutos. En ese contexto, la prisa es la verdadera vulnerabilidad, y ninguna señal visual del sitio alcanza para distinguir la tienda real de su copia.
La regla que resuelve casi todos los casos es una sola: no entrar por el enlace que llega, sino escribir la dirección de la tienda. Para una organización, además, conviene asumir que esas compras se van a hacer desde los equipos de trabajo, y que la defensa no puede depender de que cada colaborador revise el dominio letra por letra en plena campaña.
