Nueva Oleada de Phishing Postal: Cartas Falsas con Código QR Amenazan a Usuarios de Trezor y Ledger
Expertos en ciberseguridad alertan sobre una campaña de phishing físico dirigida a usuarios de las carteras de hardware Trezor y Ledger. La estafa utiliza cartas postales fraudulentas que suplantan la identidad de los fabricantes e incluyen códigos QR maliciosos, con el objetivo final de robar las frases de recuperación y vaciar los fondos de las víctimas. Este incidente explota datos personales filtrados en brechas de seguridad ocurridas en los últimos años.
El Modus Operandi de la Nueva Estafa Postal
La campaña se caracteriza por el envío de cartas físicas diseñadas para aparentar legitimidad, incluso mediante el uso de hologramas. Los documentos están falsamente firmados por ejecutivos de las empresas, aunque a menudo contienen errores que delatan su naturaleza fraudulenta.
La Carta Fraudulenta y su Apariencia Oficial
El 13 de febrero de 2026, el experto en ciberseguridad Dmitry Smilyanets reportó haber recibido una de estas cartas. El documento, que incluía un holograma, estaba falsamente firmado por “Matěj Žák”, presentado como el “CEO de Ledger”. En realidad, Matěj Žák es el director ejecutivo de Trezor. La carta exigía al destinatario completar una “Verificación de Autenticidad” antes del 15 de febrero de 2026, amenazando con restringir el acceso a su dispositivo en caso de incumplimiento. Este caso replica un incidente similar reportado por un usuario de Ledger en octubre de 2025.
Del Código QR al Robo de Fondos
El mecanismo del engaño es directo. El código QR incluido en la carta dirige al usuario a un sitio web malicioso que imita las páginas oficiales de configuración de Trezor o Ledger. La única función de esta página falsa es capturar la frase de recuperación o *seed phrase* de la víctima (la secuencia de 12 o 24 palabras que da acceso total a la cartera). Una vez introducida, esta información crítica se transmite a los atacantes, quienes pueden importar la cartera en su propio dispositivo y robar todos los criptoactivos.
Las compañías legítimas de carteras de hardware NUNCA solicitan la frase de recuperación por ningún medio.
Contexto y Antecedentes: Un Problema Recurrente
Estos ataques dirigidos son posibles gracias a filtraciones masivas de datos de clientes ocurridas en el pasado, cuyos registros siguen siendo utilizados activamente por los cibercriminales.
La Raíz del Problema: Brechas de Datos Masivas
Tanto Ledger como Trezor han sufrido incidentes de seguridad que comprometieron información personal de sus usuarios. Una brecha en Trezor en enero de 2024 expuso los datos de contacto de casi 66,000 clientes. Ledger y sus socios también han experimentado múltiples filtraciones a gran escala que incluyeron direcciones postales, con datos robados que se remontan al año 2020.
Historial de Ataques Físicos Similares
La campaña actual es parte de un patrón recurrente. En 2021, se reportó el envío de dispositivos Ledger Nano falsificados a víctimas. En abril de 2025, se detectó una oleada de cartas físicas con códigos QR maliciosos, y en mayo del mismo año, los estafadores utilizaron aplicaciones falsas de Ledger Live. La recurrencia del problema llevó a Ledger a emitir una alerta oficial en su sitio web en octubre de 2025, advirtiendo específicamente sobre esta estafa postal.
Recomendaciones de Seguridad y Cómo Protegerse
La Regla de Oro que Nunca Debe Romperse
El principio fundamental de seguridad es claro: las empresas legítimas de carteras de hardware nunca solicitan la frase de recuperación por ningún medio (sitio web, correo electrónico, carta postal o teléfono). Cualquier comunicación que pida esta información es, por definición, una estafa.
Acciones a Tomar si se Recibe una Carta Sospechosa
Si un usuario recibe una comunicación postal de este tipo, debe seguir estos pasos clave:
1. No escanear el código QR bajo ninguna circunstancia.
2. No ingresar la frase de recuperación en ningún sitio al que se llegue mediante un enlace o código QR de una comunicación no solicitada.
3. Verificar cualquier alerta accediendo directamente al sitio web oficial de la compañía, escribiendo la URL manualmente.
4. Reportar el intento de phishing a la empresa cuyo nombre está siendo suplantado (Trezor o Ledger).
5. Deshacerse de la carta de forma segura.
Medidas Proactivas para Usuarios
Para mitigar riesgos futuros, los usuarios pueden considerar:
• Utilizar direcciones postales alternativas (como casillas de correo) para compras de hardware crítico.
• Mantenerse informado sobre las alertas oficiales en los blogs y canales de soporte de Trezor y Ledger.
• Emplear funciones de seguridad adicionales, como las frases de contraseña (*passphrase*), que añaden una capa extra de protección incluso si la frase de recuperación base se viera comprometida.
