Un día cualquiera, mientras revisaba mi correo como de costumbre, vi un mensaje con el asunto “Meta Business”. No le di mucha importancia al principio porque asumí que era phishing. Sin embargo, al revisar los Headers me di cuenta de que el correo provenía de un dominio asociado a un colegio de Estados Unidos.
Al investigar un poco más, descubrí que ese colegio había cerrado en 2015. A pesar de eso, el dominio seguía activo: estaba registrado desde Japón y se usaba para enviar correos a través de Resend (sobre infraestructura de AWS). En VIEWDNS el historial de IPs iba de 2011 a 2025. Revisando Wayback Machine vi que el sitio había pertenecido al colegio desde 2008, año en el que comenzó a operar. Después, en 2016, el dominio estuvo a la venta por 1.000 dólares; lo compró un operador japonés que más adelante lo abandonó. Posteriormente pasó a manos de operadores chinos.
Me llamó la atención. ¿Por qué un dominio de un colegio que ya no existe estaba siendo usado para phishing, y encima el mensaje estaba en español? Empecé a mirar y vi que no es un caso raro.
En el ecosistema del phishing como servicio (PhaaS), es habitual que los operadores compren dominios vencidos o con historial limpio precisamente porque generan más confianza y pasan mejor los filtros de correo. Un dominio que alguna vez perteneció a un colegio encaja bien en ese patrón: conserva cierta legitimidad aparente aunque la institución ya no exista.
Esto me dejó pensando en qué deberían hacer las instituciones educativas o públicas con sus dominios cuando cierran. Si no hay un proceso claro para transferirlos, renovarlos de forma controlada o darlos de baja ordenadamente, es fácil que terminen en manos de terceros y se usen justo para engañar a gente que todavía confía en ese nombre.
Al final me quedé con la duda de cuánta gente cae en este tipo de cosas. No porque el mensaje sea muy elaborado, sino porque parece venir de algo que alguna vez fue real. Un dominio con años de historial suele funcionar mejor que uno nuevo precisamente por eso.
