La operación Serengeti III desmantela 10 909 redes maliciosas, recupera más de 105 millones de dólares y destapa fraudes digitales con pérdidas superiores a 385 millones.
El cibercrimen mueve millones, atraviesa fronteras y aprovecha las mismas herramientas digitales que utilizan a diario ciudadanos y empresas. Frente a estas redes, INTERPOL ha coordinado una de sus mayores operaciones recientes contra la delincuencia informática en África: 1 462 sospechosos detenidos, 10 909 redes maliciosas desarticuladas y más de 105 millones de dólares recuperados.
La operación, bautizada como Serengeti III, se desarrolló entre el 29 de junio y el 31 de agosto de 2026, con la participación de fuerzas policiales de 21 países. Las investigaciones identificaron a 65 929 posibles víctimas y relacionaron las actividades criminales con pérdidas económicas superiores a 385 millones de dólares, según los datos publicados por INTERPOL y recogidos por The Hacker News.
La intervención se centró en redes dedicadas a las estafas de inversión, el ransomware, la suplantación de comunicaciones empresariales, el phishing y la extorsión digital. Los resultados dejan al descubierto una realidad incómoda: detrás de muchos fraudes que parecen simples mensajes o páginas web falsas existen infraestructuras organizadas, cuentas comprometidas y circuitos financieros diseñados para dificultar el rastreo del dinero.
Serengeti III: 21 países contra las redes criminales digitales
La operación reunió a organismos policiales de 20 países africanos y Estados Unidos, con INTERPOL como coordinador de la cooperación internacional. El organismo facilitó información sobre dominios sospechosos, direcciones IP y servidores de mando y control asociados a actividades delictivas.
La colaboración permitió a los investigadores identificar infraestructura utilizada por los delincuentes y trasladar esa información a las autoridades que podían actuar dentro de sus respectivas jurisdicciones.
Entre los países participantes figuran Angola, Benín, Camerún, Costa de Marfil, República Democrática del Congo, Esuatini, Gabón, Gambia, Ghana, Kenia, Mozambique, Nigeria, Ruanda, Senegal, Sudáfrica, Tanzania, Uganda, Zambia, Zimbabue y la República del Congo, además de Estados Unidos.
El balance oficial incluye cuatro resultados principales:
- 1 462 sospechosos detenidos en el marco de las investigaciones.
- 10 909 redes maliciosas interrumpidas.
- Más de 105 millones de dólares en fondos ilícitos recuperados.
- 65 929 posibles víctimas identificadas, con pérdidas vinculadas a las actividades investigadas superiores a 385 millones de dólares.
Las cifras no significan que todos los sospechosos hayan sido condenados ni que se haya recuperado todo el dinero perdido. Las detenciones corresponden a actuaciones policiales, mientras que la atribución definitiva de responsabilidades depende de las investigaciones y los procedimientos judiciales.
La diferencia es importante: desmantelar infraestructura puede frenar operaciones en marcha, pero las autoridades todavía deben analizar pruebas, identificar a otros participantes y seguir el rastro de los fondos.
Uganda concentra uno de los mayores golpes de la operación
Uno de los resultados más destacados se produjo en Uganda, donde las autoridades desarticularon dos redes transnacionales de fraude y detuvieron a 365 ciudadanos extranjeros.
Según los datos difundidos por INTERPOL y recogidos por The Hacker News, las redes estaban vinculadas a sofisticadas estafas de inversión y fraude relacionado con pensiones. Los delincuentes utilizaban centros de llamadas, guiones preparados, plataformas de inversión falsas y páginas web fraudulentas para convencer a las víctimas de que entregaran su dinero.
Entre los objetivos había personas mayores de países asiáticos, a quienes se presentaban oportunidades de inversión ficticias. Los delincuentes podían simular beneficios iniciales, crear una apariencia de legitimidad y presionar a las víctimas para que ingresaran cantidades cada vez mayores.
El mecanismo explota una vulnerabilidad que no es exclusivamente tecnológica: la confianza de la víctima. Una plataforma con gráficos profesionales, atención telefónica y supuestos asesores financieros puede parecer auténtica incluso cuando detrás no existe una inversión real.
La intervención policial permitió actuar contra las estructuras utilizadas para captar a las víctimas. Sin embargo, la detención de los sospechosos no implica que todas las personas perjudicadas hayan recuperado su dinero ni que el proceso judicial haya concluido.
Nigeria: phishing, correos empresariales y robo de credenciales
En Nigeria, los investigadores detuvieron a un sospechoso relacionado con una operación de phishing y fraude mediante comunicaciones empresariales comprometidas, conocido como Business Email Compromise (BEC).
La actividad investigada habría permitido recopilar credenciales de acceso a programas informáticos y reunir aproximadamente 2,1 millones de direcciones de correo electrónico.
El phishing consiste en engañar a una persona para que entregue información sensible, como contraseñas, datos bancarios o códigos de autenticación. Los mensajes suelen imitar a empresas, entidades financieras o servicios conocidos para que el destinatario confíe en el remitente y pulse un enlace o abra un archivo.
El fraude BEC utiliza una táctica relacionada, pero orientada especialmente a las comunicaciones de organizaciones. Los delincuentes pueden suplantar a un directivo, un proveedor o un empleado para ordenar una transferencia, modificar una cuenta bancaria de pago o conseguir información confidencial.
El peligro no reside únicamente en la cantidad de direcciones recopiladas. Una base de datos de millones de contactos puede facilitar campañas posteriores, especialmente si los delincuentes combinan las direcciones con contraseñas robadas, datos personales o información sobre las empresas afectadas.
Por eso, robar credenciales puede ser el primer paso de una cadena de ataques mucho mayor. Una cuenta comprometida puede utilizarse para acceder a otros servicios, enviar mensajes fraudulentos desde una identidad legítima o buscar nuevas víctimas dentro de la misma organización.
Otra investigación en Nigeria rastrea más de 2,4 millones de dólares
Las autoridades nigerianas también detuvieron a otro sospechoso relacionado con un supuesto fraude internacional de inversiones promocionado mediante aplicaciones de mensajería.
La investigación permitió rastrear el movimiento de más de 2,4 millones de dólares en fondos presuntamente procedentes de actividades criminales. Una parte importante del dinero habría sido blanqueada mediante operaciones con criptomonedas, según la información publicada por The Hacker News.
Las criptomonedas no son ilegales por naturaleza, pero determinados activos y servicios pueden ser utilizados para transferir fondos entre plataformas y jurisdicciones, lo que complica las investigaciones cuando intervienen intermediarios, identidades falsas o servicios que no cooperan con las autoridades.
Aun así, las transacciones en determinadas cadenas de bloques dejan registros que los investigadores especializados pueden analizar. El reto consiste en vincular las direcciones digitales con personas, servicios o movimientos financieros concretos y reunir pruebas admisibles en un procedimiento judicial.
El caso ilustra por qué las investigaciones actuales combinan conocimientos informáticos y financieros. Para desmantelar una red no basta con cerrar una página web: también hay que localizar a los responsables, identificar las cuentas utilizadas y tratar de recuperar los activos obtenidos mediante el fraude.
Angola: centros ilegales de minería de criptomonedas
En Angola, la operación se dirigió contra dos centros ilegales de minería de criptomonedas. Las autoridades detuvieron a nueve sospechosos e incautaron más de 2 000 dispositivos de minería, además de seis estaciones ilegales de transformación eléctrica.
INTERPOL valoró estas últimas instalaciones en más de un millón de dólares.
La minería de criptomonedas utiliza equipos informáticos para realizar operaciones computacionales asociadas a determinadas redes digitales. Dependiendo del sistema empleado, el proceso puede consumir grandes cantidades de electricidad y requiere infraestructura especializada.
Cuando se desarrolla sin autorización o mediante conexiones eléctricas ilegales, puede provocar pérdidas económicas, sobrecargas y otros riesgos para las instalaciones de suministro. La gravedad concreta depende de las condiciones de cada instalación y de las infracciones acreditadas por las autoridades.
El caso angoleño demuestra que el cibercrimen no se limita al robo de datos o a las estafas en internet. También puede apoyarse en infraestructuras físicas, equipos industriales y redes de suministro para generar beneficios al margen de la normativa.
La incautación de los dispositivos y de las instalaciones eléctricas permite interrumpir esa actividad, aunque la investigación debe determinar quién controlaba los centros, cómo se financiaban y cuál era el origen de los ingresos.
Tanzania, Gabón y República del Congo también registran actuaciones
La operación tuvo resultados adicionales en otros países participantes.
En Tanzania, las autoridades intervinieron contra un esquema relacionado con una aplicación maliciosa de préstamos para móviles. Este tipo de fraude puede aprovechar permisos abusivos, datos personales y mecanismos de cobro engañosos para presionar a los usuarios o acceder a información que no resulta necesaria para conceder un préstamo.
En Gabón, los investigadores desarticularon una red de fraude relacionada con la importación de vehículos y promocionada a través de redes sociales. Los anuncios de automóviles a precios atractivos pueden utilizarse para solicitar anticipos por vehículos inexistentes o para suplantar a vendedores legítimos.
Por su parte, las autoridades de la República del Congo detuvieron a 30 sospechosos vinculados a una operación de ciberdelincuencia. La información difundida no ofrece el mismo nivel de detalle sobre todos los casos, por lo que no sería correcto atribuir a cada uno técnicas o cantidades concretas que no se han publicado.
La variedad de actuaciones muestra la amplitud del fenómeno. Bajo la categoría de ciberdelincuencia pueden agruparse delitos distintos, desde el robo de contraseñas hasta las estafas comerciales, los fraudes financieros y el uso de aplicaciones para obtener datos o dinero de forma ilícita.
Qué son las redes maliciosas que ha desarticulado INTERPOL
La cifra de 10 909 redes maliciosas se refiere a infraestructuras digitales asociadas a actividades delictivas. No debe interpretarse como si se hubieran detenido a 10 909 organizaciones criminales independientes.
Estas infraestructuras pueden incluir dominios fraudulentos, servidores utilizados para distribuir instrucciones a equipos comprometidos, recursos empleados para campañas de phishing y otros componentes que permiten ejecutar o coordinar ataques.
Uno de los conceptos clave es el de servidor de mando y control. Se trata de un sistema que permite a los operadores enviar instrucciones a dispositivos comprometidos, recibir información o coordinar determinadas acciones maliciosas.
Si los investigadores consiguen identificar estos recursos y las autoridades logran interrumpirlos, pueden dificultar la continuidad de una campaña criminal. Sin embargo, algunas redes pueden reconstruirse o trasladarse a nuevos servidores, por lo que la interrupción de infraestructura no siempre elimina de forma permanente a los responsables.
La colaboración entre organismos policiales y empresas de ciberseguridad permite detectar patrones que podrían pasar inadvertidos al analizar un único incidente. Un dominio, una dirección IP o una cuenta sospechosa pueden aportar información adicional cuando se relacionan con otros ataques.
La cooperación con empresas privadas refuerza las investigaciones
La operación contó con la colaboración de empresas especializadas, entre ellas Group-IB, que aportó inteligencia sobre kits de phishing, botnets y otros recursos maliciosos alojados en África o utilizados para atacar objetivos de la región.
También participaron empresas y organizaciones tecnológicas que facilitaron información sobre infraestructura sospechosa. La colaboración público-privada puede ayudar a conectar incidentes que afectan a víctimas, plataformas y proveedores situados en países distintos.
Las empresas de ciberseguridad suelen disponer de telemetría y datos técnicos que permiten reconocer campañas, identificar servidores relacionados y detectar patrones de actividad. Las fuerzas policiales, por su parte, cuentan con competencias para ejecutar órdenes, practicar detenciones y desarrollar procedimientos penales dentro del marco legal.
La eficacia de este modelo depende de la calidad de la información, la rapidez de intercambio y la capacidad de convertir los indicios técnicos en pruebas útiles para las investigaciones.
La tecnología puede revelar la infraestructura criminal, pero la cooperación internacional es la que permite actuar contra sus responsables.
Serengeti III da continuidad a dos operaciones anteriores
La campaña de 2026 forma parte de una serie de operaciones coordinadas en años anteriores. Según The Hacker News, las dos primeras oleadas se desarrollaron entre septiembre y octubre de 2024 y entre junio y agosto de 2025, con más de 2 000 detenciones acumuladas.
La continuidad de estas intervenciones refleja que el problema no se resuelve con una única redada. Los grupos criminales pueden cambiar de infraestructura, trasladar sus operaciones, reutilizar datos robados o adoptar nuevas técnicas cuando se interrumpen sus actividades.
Las investigaciones necesitan, por tanto, combinar la actuación policial con el análisis de inteligencia, el seguimiento de los fondos y la identificación de posibles víctimas adicionales.
INTERPOL ha subrayado que las redes criminales operan sin respetar fronteras y aprovechan la tecnología para alcanzar a personas y empresas a gran escala. El organismo considera que la cooperación entre países es una herramienta fundamental para desarticular redes, recuperar activos y proteger a las comunidades.
Cómo pueden protegerse los ciudadanos y las empresas
Aunque las operaciones internacionales permiten frenar a los delincuentes, los usuarios también pueden reducir su exposición a determinados fraudes. Ninguna medida elimina todos los riesgos, pero varias prácticas dificultan el trabajo de los estafadores.
- Desconfiar de las inversiones que prometen beneficios garantizados. Las ofertas con rentabilidades extraordinarias, presión para ingresar dinero de inmediato o supuestos asesores que contactan sin haber sido solicitados requieren comprobaciones adicionales.
- No abrir enlaces inesperados. Si un mensaje solicita introducir una contraseña, confirmar una transferencia o descargar un archivo, conviene verificar la petición por un canal independiente.
- Activar la autenticación multifactor. Añadir una segunda comprobación de identidad reduce el riesgo de que una contraseña robada permita acceder directamente a una cuenta.
- Verificar los cambios de cuentas bancarias. Las empresas deben confirmar por un canal conocido cualquier modificación de los datos de pago comunicada por correo electrónico.
- Mantener actualizados los dispositivos. Las actualizaciones corrigen vulnerabilidades que pueden ser aprovechadas para comprometer equipos y cuentas.
- Denunciar rápidamente los incidentes. Si se ha realizado una transferencia fraudulenta, es importante contactar con el banco y comunicar los hechos a las autoridades cuanto antes.
En las organizaciones, estas medidas deben complementarse con copias de seguridad, controles de acceso, formación del personal y procedimientos para gestionar incidentes. En particular, los fraudes BEC requieren que los empleados puedan comprobar solicitudes financieras inusuales sin depender exclusivamente del correo electrónico.
Qué significan los resultados y qué queda pendiente
El balance de Serengeti III es significativo por el número de detenciones, la infraestructura interrumpida y los fondos recuperados. Sin embargo, las cifras deben leerse con precisión.
Los 105 millones de dólares recuperados no equivalen al total de las pérdidas identificadas, que superan los 385 millones. La diferencia refleja que recuperar activos es una tarea distinta de calcular el daño económico atribuido a una actividad criminal.
Del mismo modo, las 65 929 víctimas identificadas no representan necesariamente el total definitivo de perjudicados. Las investigaciones siguen abiertas en varios casos y las autoridades continúan analizando pruebas, rastreando fondos e intentando identificar a otros sospechosos.
El resultado también muestra los límites de una operación policial: interrumpir servidores, incautar equipos y detener sospechosos puede reducir la capacidad de una red, pero no garantiza que desaparezcan todas las variantes de la estafa ni que las víctimas recuperen su dinero.
La siguiente fase dependerá de las investigaciones judiciales, la cooperación entre países y la capacidad de convertir los datos técnicos en actuaciones contra los responsables y sus activos.
INTERPOL ha logrado interrumpir miles de recursos digitales y recuperar más de 105 millones de dólares, pero el alcance real de Serengeti III se medirá también por las condenas que puedan derivarse de las investigaciones, los activos adicionales recuperados y la prevención de nuevos fraudes.
La operación deja una conclusión clara: la lucha contra el cibercrimen exige una respuesta internacional coordinada, porque las víctimas, los servidores, los delincuentes y el dinero pueden encontrarse en países diferentes. En un entorno digital sin fronteras físicas claras, la cooperación policial y la prevención siguen siendo esenciales para reducir los daños.
Toqueteo
Toqueteo
Toqueteo