Una parte importante de las campañas actuales no enseña el phishing, la estafa o la landing final a cualquiera. El atacante quiere que la página solo aparezca a la víctima correcta: usuarios de un país concreto, con un móvil determinado, un navegador específico o incluso un idioma concreto. Para el resto, la web puede parecer inofensiva, devolver un error o redirigir a otro sitio. Ese comportamiento hace que muchas campañas pasen desapercibidas si no se analizan con el perfil adecuado.
Por qué filtran por país o dispositivo
No todas las campañas buscan volumen. Muchas buscan conversión. Si el objetivo es robar credenciales de un banco español, suplantar un operador francés o dirigir una estafa a usuarios de un marketplace concreto, enseñar la landing a cualquier visitante solo genera ruido y acelera la detección.
Por eso es habitual que la URL compruebe primero desde dónde llega la visita y con qué tipo de dispositivo. Si la petición no parece encajar con la audiencia prevista, la página cambia de comportamiento. Eso reduce exposición, complica el análisis y hace que la campaña dure más tiempo online.
En una ejecución puede verse una landing de phishing para móvil, en otra una redirección genérica y en otra un error aparentemente inocente. La diferencia no está en la URL, sino en el perfil con el que se visita.
Qué suelen comprobar
Las comprobaciones más comunes son visibles en campañas de phishing, brand abuse y fraude dirigido. El objetivo no es sofisticación técnica por sí misma, sino asegurar que la página se enseña solo al usuario que tiene más probabilidades de caer.
- País de origen de la IP: la página se activa solo para visitantes desde una geografía concreta.
- Tipo de dispositivo: algunas campañas solo muestran el contenido real en móvil o, al revés, solo en escritorio.
- User agent y navegador: el comportamiento puede variar entre Safari móvil, Chrome Android o un navegador de escritorio.
- Idioma y contexto local: se adapta texto, moneda, marca visual o incluso el flujo de pago según el país esperado.
- Combinaciones concretas: por ejemplo, solo usuarios desde un país determinado y con un iPhone reciben la landing real.
Por qué el análisis suele fallar
Cuando una URL se analiza siempre desde el mismo entorno, se corre el riesgo de concluir que no hace nada especial. Pero muchas campañas están precisamente diseñadas para eso: si detectan un perfil poco creíble para la víctima final, muestran una página blanca, una redirección limpia o un contenido genérico.
Ese problema es especialmente claro en campañas que apuntan a usuarios de un único país, a clientes de banca móvil o a servicios que dependen mucho del dispositivo. Si no se reproduce el contexto esperado, el análisis se queda a medio camino.
Muchas veces solo significa que el atacante no quiso enseñarte la versión real de la campaña con ese país, ese navegador o ese tipo de dispositivo.
Cómo ayuda URL Sandbox
Aquí es donde `URL Sandbox` resulta especialmente útil. En lugar de limitarse a una sola vista, permite analizar la misma URL con diferentes perfiles para comprobar si el comportamiento cambia. Desde la propia experiencia del usuario se puede seleccionar el país desde el que se quiere ejecutar el análisis y ajustar el perfil del navegador o del dispositivo para acercarse más al escenario objetivo.
Eso permite responder preguntas muy concretas y muy valiosas:
- ¿La landing solo aparece desde un país concreto?
- ¿El contenido cambia entre móvil y escritorio?
- ¿La URL redirige de forma distinta si se usa otro user agent?
- ¿La campaña intenta parecer local según el país elegido?
En la práctica, el valor no está solo en ver la página, sino en comparar escenarios. Si una URL parece inofensiva desde un perfil genérico pero muestra una landing real cuando se lanza con un país y un dispositivo concretos, el equipo ya tiene una señal operativa mucho más fuerte.
Un flujo de análisis simple
Para investigar este tipo de campañas no hace falta complicar el proceso. Un flujo claro suele ser suficiente:
- Ejecuta la URL con un perfil inicial y revisa si el contenido parece genérico o limitado.
- Repite el análisis cambiando el país para comprobar si aparece otra versión de la landing.
- Compara el mismo enlace con un perfil de escritorio y otro móvil.
- Prueba distintos user agents si sospechas que la campaña está filtrando por navegador.
- Guarda la evidencia visual del escenario que realmente activa la campaña y utilízala para priorizar respuesta, bloqueo o takedown.
Este enfoque resulta especialmente útil cuando la URL parece inocua en una primera revisión, cuando la marca afectada opera en un país concreto o cuando se sospecha que el flujo real solo se activa en móvil.
Puntos clave
- Muchas campañas ya no muestran el contenido real a cualquier visitante.
- El filtrado por país, IP, dispositivo o user agent es una forma directa de reducir detección.
- Una URL puede parecer limpia desde un perfil y maliciosa desde otro.
- `URL Sandbox` permite reproducir distintos escenarios de país, navegador y dispositivo desde una misma experiencia de análisis.
- La capacidad de comparar perfiles ayuda a confirmar campañas dirigidas y a obtener evidencia más útil para actuar.