Desde Dakar en Senegal hasta Astaná en Kazajistán se repite el mismo esquema: páginas de Facebook que se hacen pasar por servicios locales de transporte público y ofrecen tarjetas para viajar a precios muy bajos. Así comienza el timo. El objetivo real es dirigir a usuarios a webs de phishing, para robar datos de sus tarjetas de crédito. Hemos identificado 1.075 páginas que replicaron esta estafa entre julio de 2024 y julio de 2025 en 746 ciudades y regiones de 60 países distintos.
No sólo el alcance de este engaño es global, también su estructura. Según los datos ofrecidos por Meta, más de la mitad de los administradores estarían ubicados en Vietnam mientras que la mayoría de los dominios promocionados se encuentran en dos únicas IPs de un mismo proveedor en Rusia.
En este timo, la publicidad de la propia Meta juega un papel clave. Aunque en general las páginas apenas tienen seguidores, muchas lograron una difusión masiva de sus publicaciones de phishing gracias a más de 9.000 anuncios pagados en Facebook e Instagram. Si bien Meta eliminó al menos un anuncio en el 55% de estas páginas por infringir sus normas publicitarias, todas las páginas seguían disponibles en el momento en que se recopilaron los datos (julio 2025), incluso meses después de comenzar su actividad.
Una estructura internacional para timar
Además del contenido de las publicaciones promocionadas, Meta contaba con otras señales de alarma que evidenciaban que no se trataba de algún caso aislado, sino de redes coordinadas sobre las que pudo haber actuado. Casi una de cada cinco páginas cambiaron de nombre en algún momento, y muchas fueron recicladas para ofrecer supuestos servicios de transporte en distintas ciudades. Por ejemplo, una página que en un principio se hacía pasar por la agencia de transporte público de Le Havre (Francia) terminó transformándose en la supuesta empresa encargada de ese servicio en Peterborough, Reino Unido.
Además, otras páginas seguían patrones repetitivos en los nombres con los que fueron creadas antes de activarse para el engaño.
Este timo no sólo es internacional porque afecte a 60 países; también porque la estructura de quienes lo llevan a cabo parece estar repartida por todo el mundo. Meta ofrece información de la localización de los administradores de muchas de estas páginas fraudulentas que pretenden ofrecer servicios locales de transporte, pero en sólo un caso esa ubicación coincide con la que dice la propia página. Por el contrario, aparecen casos como el del supuesto sistema de transporte público de Brighton, en Reino Unido, que cuenta con dos administradores en Tailandia y Venezuela.
De los 515 administradores cuya ubicación proporciona Meta, más de la mitad aparecen en Vietnam y los siguientes países más habituales son Ucrania, Bangladesh y Estados Unidos.
Aunque sólo siete de los administradores con ubicación disponible (el 1,3%) están en países de la Unión Europea, el 68% de las páginas fraudulentas suplantan servicios de transporte público que sí están en la UE. Los países donde se detectaron más páginas fueron Francia, España, Reino Unido e Italia. Barcelona fue la ciudad de todo el mundo más afectada por este timo, con más de 20 páginas distintas que intentaron hacerse pasar por su transporte público.
Ya en junio denunciamos a Meta 58 publicaciones de páginas fraudulentas de Facebook detectadas en España que habían sido promocionadas con anuncios. Usamos los mecanismos de denuncia de la Ley Europea de Servicios Digitales (DSA), pero una semana después el 93% seguían activas.
Un foco similar en el continente europeo existe en el uso de anuncios en las propias plataformas de Meta para promocionar el engaño. De los más de 9.100 anuncios que estas páginas pusieron en circulación, sólo 20 fueron en países no europeos, según el repositorio de Meta.
Dominios con base en Rusia
Según la información de Meta, las páginas fraudulentas se administran desde más de 30 países distintos, entre los que se repite especialmente Vietnam. Al analizar los enlaces promocionados en estas publicaciones aparece otro país clave: Rusia.
La finalidad de estas páginas es llevar a la gente a hacer clic en un enlace que dirige a una web donde se pide el número de tarjeta de crédito, supuestamente para pagar uno de esos abonos de transporte al bajo precio que prometen. Según hemos analizado, más de la mitad de esas páginas de Facebook enlazan a dominios alojados en sólo dos direcciones IP que pertenecen al mismo proveedor en Rusia.
590 de las 1.075 páginas de Facebook detectadas como parte del timo promocionaban enlaces a dominios del mismo proveedor ruso, JSC Selectel, compartían servidor en dos direcciones IP y registro DNS. Si a esto le sumamos que el contenido de las páginas era prácticamente idéntico aunque adaptado a la ciudad objetivo, y que se promocionaba a través de anuncios de la misma forma, puede indicar que estarían gestionados por la misma persona o entidad.
Una investigación con apoyo internacional
Después de descubrir el fraude en 47 ciudades españolas, organizaciones de fact-checking de todo el mundo se pusieron en contacto con Maldita.es para contarnos que habían detectado el mismo timo en sus países. Agradecemos su colaboración a nuestros compañeros de la European Fact-Checking Standards Network (EFCSN) y de la International Fact-Checking Network (IFCN), en particular Facta.News y Open.online (Italia), DPA (Alemania), Faktograf y Lupa (Croacia), Teyit (Turquía), Fact Review y Ellinika Hoaxes (Grecia), Vistinomer.mk (Macedonia del Norte), Raskrinkavanje (Bosnia y Herzegovina), Myth Detector y Geofacts (Georgia), Factcheck.bg (Bulgaria), Raskrinkavanje (Montenegro), CongoCheck (Congo) y Sure And Share Center MCOT (Tailandia).