📖 Guía 6 min lectura

Campañas dirigidas por país y dispositivo: cómo analizarlas con URL Sandbox

Muchas URLs maliciosas no muestran el contenido real a cualquiera. Primero comprueban el país de la IP, el tipo de dispositivo, el navegador o el user agent. Explicamos por qué ocurre, qué se suele ocultar y cómo reproducir esos escenarios desde URL Sandbox.

Una parte importante de las campañas actuales no enseña el phishing, la estafa o la landing final a cualquiera. El atacante quiere que la página solo aparezca a la víctima correcta: usuarios de un país concreto, con un móvil determinado, un navegador específico o incluso un idioma concreto. Para el resto, la web puede parecer inofensiva, devolver un error o redirigir a otro sitio. Ese comportamiento hace que muchas campañas pasen desapercibidas si no se analizan con el perfil adecuado.

Por qué filtran por país o dispositivo

No todas las campañas buscan volumen. Muchas buscan conversión. Si el objetivo es robar credenciales de un banco español, suplantar un operador francés o dirigir una estafa a usuarios de un marketplace concreto, enseñar la landing a cualquier visitante solo genera ruido y acelera la detección.

Por eso es habitual que la URL compruebe primero desde dónde llega la visita y con qué tipo de dispositivo. Si la petición no parece encajar con la audiencia prevista, la página cambia de comportamiento. Eso reduce exposición, complica el análisis y hace que la campaña dure más tiempo online.

La misma URL puede mostrar experiencias distintas

En una ejecución puede verse una landing de phishing para móvil, en otra una redirección genérica y en otra un error aparentemente inocente. La diferencia no está en la URL, sino en el perfil con el que se visita.

Qué suelen comprobar

Las comprobaciones más comunes son visibles en campañas de phishing, brand abuse y fraude dirigido. El objetivo no es sofisticación técnica por sí misma, sino asegurar que la página se enseña solo al usuario que tiene más probabilidades de caer.

  • País de origen de la IP: la página se activa solo para visitantes desde una geografía concreta.
  • Tipo de dispositivo: algunas campañas solo muestran el contenido real en móvil o, al revés, solo en escritorio.
  • User agent y navegador: el comportamiento puede variar entre Safari móvil, Chrome Android o un navegador de escritorio.
  • Idioma y contexto local: se adapta texto, moneda, marca visual o incluso el flujo de pago según el país esperado.
  • Combinaciones concretas: por ejemplo, solo usuarios desde un país determinado y con un iPhone reciben la landing real.

Por qué el análisis suele fallar

Cuando una URL se analiza siempre desde el mismo entorno, se corre el riesgo de concluir que no hace nada especial. Pero muchas campañas están precisamente diseñadas para eso: si detectan un perfil poco creíble para la víctima final, muestran una página blanca, una redirección limpia o un contenido genérico.

Ese problema es especialmente claro en campañas que apuntan a usuarios de un único país, a clientes de banca móvil o a servicios que dependen mucho del dispositivo. Si no se reproduce el contexto esperado, el análisis se queda a medio camino.

Un resultado limpio no siempre significa que la URL sea inocua

Muchas veces solo significa que el atacante no quiso enseñarte la versión real de la campaña con ese país, ese navegador o ese tipo de dispositivo.

Cómo ayuda URL Sandbox

Aquí es donde `URL Sandbox` resulta especialmente útil. En lugar de limitarse a una sola vista, permite analizar la misma URL con diferentes perfiles para comprobar si el comportamiento cambia. Desde la propia experiencia del usuario se puede seleccionar el país desde el que se quiere ejecutar el análisis y ajustar el perfil del navegador o del dispositivo para acercarse más al escenario objetivo.

Eso permite responder preguntas muy concretas y muy valiosas:

Pantalla de URL Sandbox para enviar una URL y seleccionar dispositivo, sistema, navegador y país.
URL Sandbox permite lanzar la misma URL con distintos perfiles de dispositivo, navegador y país para comprobar si el comportamiento cambia.
  • ¿La landing solo aparece desde un país concreto?
  • ¿El contenido cambia entre móvil y escritorio?
  • ¿La URL redirige de forma distinta si se usa otro user agent?
  • ¿La campaña intenta parecer local según el país elegido?

En la práctica, el valor no está solo en ver la página, sino en comparar escenarios. Si una URL parece inofensiva desde un perfil genérico pero muestra una landing real cuando se lanza con un país y un dispositivo concretos, el equipo ya tiene una señal operativa mucho más fuerte.

Attack graph generado por URL Sandbox mostrando la secuencia de navegación, cloaking, destino final e IOCs.
El attack graph ayuda a reconstruir el flujo observado: landing de cloaking, redirección, destino final e indicadores extraídos para seguimiento.
País Comprueba si hay geofencing o contenido local
Dispositivo Compara móvil y escritorio sobre la misma URL
User agent Valida si el flujo cambia según navegador o perfil

Un flujo de análisis simple

Para investigar este tipo de campañas no hace falta complicar el proceso. Un flujo claro suele ser suficiente:

  1. Ejecuta la URL con un perfil inicial y revisa si el contenido parece genérico o limitado.
  2. Repite el análisis cambiando el país para comprobar si aparece otra versión de la landing.
  3. Compara el mismo enlace con un perfil de escritorio y otro móvil.
  4. Prueba distintos user agents si sospechas que la campaña está filtrando por navegador.
  5. Guarda la evidencia visual del escenario que realmente activa la campaña y utilízala para priorizar respuesta, bloqueo o takedown.

Este enfoque resulta especialmente útil cuando la URL parece inocua en una primera revisión, cuando la marca afectada opera en un país concreto o cuando se sospecha que el flujo real solo se activa en móvil.

Puntos clave

  • Muchas campañas ya no muestran el contenido real a cualquier visitante.
  • El filtrado por país, IP, dispositivo o user agent es una forma directa de reducir detección.
  • Una URL puede parecer limpia desde un perfil y maliciosa desde otro.
  • `URL Sandbox` permite reproducir distintos escenarios de país, navegador y dispositivo desde una misma experiencia de análisis.
  • La capacidad de comparar perfiles ayuda a confirmar campañas dirigidas y a obtener evidencia más útil para actuar.