El phishing de casinos es uno de los fraudes digitales que más creció en Argentina: páginas que copian el diseño de un operador habitual —logo, colores, pantalla de login— para que ingreses usuario, contraseña y datos de tarjeta y así robártelos. La señal más directa para detectar un sitio falso es el dominio. En Argentina, el sitio oficial de un operador habilitado termina en marca.bet.ar, la extensión que NIC.ar asigna exclusivamente a quienes tienen habilitación provincial. Un sitio que se presenta como un casino conocido pero no usa ese dominio no es el oficial, sin importar cuánto se le parezca visualmente.

Esta guía no rankea ni recomienda casinos. Describe patrones de suplantación, enseña a verificar el dominio antes de cargar cualquier dato y explica qué hacer si ya cargaste tus credenciales o pagaste en un sitio trucho.

Contenido

¿Qué es el phishing de casinos y cómo funciona un sitio falso?

El phishing de casinos es una variante del phishing clásico adaptada al ecosistema de juego online. El atacante construye un sitio “mirror” o clon que imita el aspecto visual de un operador conocido —Betsson, Codere, Betano— con el objetivo de capturar credenciales y datos de tarjeta. El cebo llega por distintos canales: un anuncio pago en el buscador que aparece encima del resultado real, un mensaje de WhatsApp (el canal dominante de reenvío de links sospechosos en Argentina, con 93 % de penetración), un SMS o una publicación en redes sociales.

Una vez que ingresás tu usuario y contraseña en el sitio falso, el atacante tiene acceso a tu cuenta real si reutilizaste esa clave en otros servicios. Si además completaste los datos de tarjeta, cuenta con el número, la fecha de vencimiento y el CVV: suficiente para realizar compras no autorizadas. La Justicia y las loterías provinciales bloquearon más de 250 plataformas clandestinas por operar sin habilitación; los sitios clon son parte de ese ecosistema, pero operan con dominios genéricos (.com, .net y similares) que no tienen controles de identidad ni validación oficial.

El dominio .bet.ar como primer filtro

En Argentina el modelo de casino online es provincial: no existe una licencia nacional única. El sitio oficial de un operador habilitado en CABA usa el dominio marca.bet.ar —por ejemplo, betsson.bet.ar, codere.bet.ar, betano.bet.ar— que NIC.ar asigna solo a quienes tienen habilitación otorgada por el ente provincial. De ahí que cualquier sitio que se presente como un operador “argentino” sin terminar en .bet.ar no sea el oficial, aunque su diseño sea una copia exacta. Ese es el primer filtro, y el más confiable.

Cómo se ve un dominio falso: patrones de typosquatting

Los creadores de sitios de phishing usan técnicas de typosquatting: dominios que a simple vista se parecen al original pero no lo son. Conocerlos te permite detectarlos antes de cargar cualquier dato. Los patrones más comunes:

  • Agregados y guiones alrededor del nombre: dominios del tipo marca-casino-ar.com o marca-online.net. Ejemplos ilustrativos del patrón: betsson-casino-ar.com o codere-online.net. Esos guiones y sufijos no existen en el dominio oficial.
  • Extensiones que no son .bet.ar: .com, .net, .io, .it.com, .app, .vip. Ninguna es la extensión oficial de operadores habilitados en Argentina.
  • Typos en el nombre de la marca: letras cambiadas, duplicadas o faltantes que a ojo pasan desapercibidas.
  • Subdominios engañosos: algo como marca.seguro-login.com, donde la marca aparece a la izquierda pero el dominio real es seguro-login.com.

Leé el dominio de derecha a izquierda

El truco más útil para no caer en un subdominio trampa: ubicá la barra / final de la URL y leé hacia la izquierda hasta el primer punto. Para un operador habilitado en CABA, ese fragmento debe terminar en .bet.ar. Por eso betsson.bet.ar pasa el filtro y betsson-casino-ar.com no lo pasa. Todo lo que esté antes de marca.bet.ar son subdominios que cualquiera puede crear; solo el dominio raíz (las últimas dos etiquetas) es el que importa.

El candado (HTTPS) no prueba que sea oficial

HTTPS cifra la conexión entre tu navegador y el servidor. Eso es todo. No verifica que el sitio sea el operador real ni que el dueño del servidor sea quien dice ser. Cualquier persona puede obtener un certificado SSL gratuito en minutos para un dominio falso. Por eso el candado verde dice “la conexión está cifrada”, no “este es el sitio que buscás”. La señal de confianza real sigue siendo el dominio .bet.ar, no el candado.

Qué mirarSitio oficialSeñal de phishing
Dominiomarca.bet.arExtensión genérica: .com / .net / .io / .it.com
Candado HTTPSSí (pero no garantiza legitimidad)También puede tener candado
FooterHabilitación LOTBA + leyenda +18 + saberjugar.gob.arAusente o con texto genérico sin datos reales
Medios de pagoMercado Pago, CBU/CVU y métodos localesSolo tarjeta internacional o cripto/USDT
Diseño y ortografíaSin errores, logos en alta calidadErrores de ortografía, logos pixelados, links rotos

Qué datos roban y por qué importa

El phishing de casino apunta a dos botines distintos, con consecuencias diferentes. El primero son las credenciales: usuario y contraseña. Si reutilizás esa combinación en el correo, el banco o una billetera virtual, el atacante puede ingresar a esos servicios con los mismos datos. Usar contraseñas únicas por servicio y activar la verificación en dos pasos (2FA) reduce drásticamente ese riesgo.

El segundo son los datos de tarjeta: número, fecha de vencimiento y código de seguridad (CVV). Con eso alcanzan para hacer compras no autorizadas en cualquier comercio electrónico. Una señal de alerta que hay que conocer: si un sitio que dice ser un casino habilitado te pide cargar los datos de tarjeta “para verificar la identidad” o “para activar el bono” antes de jugar, es una red flag clara. Los operadores habilitados en CABA (LOTBA) cobran depósitos por Mercado Pago, CBU/CVU y medios locales. Que un sitio “argentino” pida exclusivamente tarjeta internacional o criptomonedas/USDT es otra señal de alarma: las criptomonedas están prohibidas en los operadores habilitados por LOTBA.

Cómo verificar que un sitio de casino es el oficial

Antes de ingresar cualquier dato en un sitio de casino, hacé estos tres pasos. Son rápidos y pueden ahorrarte un problema grande.

Paso 1 — Confirmá el dominio .bet.ar

No entres al sitio desde un link de WhatsApp, un SMS ni un anuncio pago: esos son los vectores más frecuentes de phishing. Tipeá vos mismo el dominio en la barra del navegador o llegá desde el listado oficial de operadores habilitados. El sitio oficial de cualquier operador con licencia en CABA debe terminar en marca.bet.ar. Si el link que te enviaron lleva a otro dominio, no cargués nada antes de verificar.

Paso 2 — Cruzá con el padrón oficial de habilitados

Buscá el nombre del operador en el listado público de LOTBA (para CABA) o en el ente de lotería de tu provincia y verificá que el dominio coincida exactamente con el que figura allí. Si el operador no aparece en el padrón oficial, o el dominio del listado es diferente al que te están mostrando, no cargués ningún dato. La verificación cruzada con el padrón oficial es el paso más definitivo.

Paso 3 — Revisá señales de la página

Un operador habilitado muestra en el footer la leyenda obligatoria “EL JUEGO COMPULSIVO ES PERJUDICIAL PARA LA SALUD | +18” (Res. 446/2025) y la referencia a saberjugar.gob.ar con el número 0800 666 6006. Revisá también la calidad general del sitio: errores de ortografía, logos pixelados, links rotos y ofertas desmedidas que te apuran a hacer el login son señales de que algo no cierra. Ante la duda, no ingresés credenciales.

Qué hacer si ya cargaste datos o hiciste un pago en un sitio falso

Si ya cargaste datos en un sitio que resultó ser falso, el tiempo de respuesta importa. Estos son los pasos a seguir según lo que hayas ingresado.

Si cargaste usuario y contraseña

Entrá al sitio real del operador y cambiá la contraseña de inmediato. Luego revisá si usás esa misma clave en otros servicios (correo, banco, Mercado Pago) y cambiala también en cada uno. Activá la verificación en dos pasos (2FA) en todos los servicios donde sea posible y cerrá las sesiones abiertas en el sitio real. Revisá también si hay actividad sospechosa en tu cuenta.

Si cargaste datos de tarjeta

Avisá al banco o emisor de la tarjeta lo antes posible para solicitar el bloqueo preventivo y desconocer cualquier cargo no autorizado. Pedí formalmente el contracargo (chargeback): en Visa y Mastercard el plazo general para presentarlo es de hasta 120 días desde la transacción, y por motivos de fraude puede extenderse hasta 540 días según el tipo de reclamo. Guardá toda la evidencia: capturas de pantalla del sitio falso, correos, la URL exacta y los datos de la transacción. Esa documentación es clave para el proceso.

Si pagaste con Mercado Pago

Abrí el Centro de Ayuda de Mercado Pago y buscá la opción para desconocer una compra u operación no reconocida. Si el pago salió de una tarjeta de crédito o débito vinculada a MP, gestioná el contracargo también con el emisor de la tarjeta en paralelo: son dos reclamos independientes que podés hacer de forma simultánea. Cambiá la contraseña de Mercado Pago y revisá los medios de pago guardados para detectar cualquier alteración.

Reportá y denunciá

Denunciar el sitio te protege a vos y evita que otras personas caigan en la misma trampa. Los canales disponibles:

  • Google Safe Browsing: reportá la URL falsa mediante el formulario “Report phishing” para que el buscador la marque como sitio peligroso.
  • UFECI / comisaría: la Unidad Fiscal Especializada en Ciberdelincuencia (UFECI) del Ministerio Público Fiscal atiende delitos informáticos; también podés hacer la denuncia en tu comisaría más cercana.
  • CERT.ar: la Dirección Nacional de Ciberseguridad gestiona incidentes de ciberseguridad a nivel nacional.
  • Ventanilla Única Federal de Defensa del Consumidor (Ley 24.240): si hubo una transacción de por medio, podés presentar tu reclamo de consumidor en este canal federal.

Señales de alerta de phishing (checklist)

Antes de ingresar cualquier dato en un sitio que dice ser un casino, revisá este checklist. Cada punto es una señal de alarma por sí sola; si encontrás más de uno, el riesgo se multiplica.

  • El dominio no termina en .bet.ar pero el sitio se presenta como un operador argentino habilitado.
  • La URL tiene guiones, typos o extensiones raras (.net, .it.com, .io, .vip).
  • Llegaste al sitio desde un link de WhatsApp, SMS o un anuncio que te apuraba a hacer el login.
  • El sitio pide datos de tarjeta “para verificar la identidad” o “para activar el bono” antes de cualquier depósito.
  • El único medio de pago aceptado es tarjeta internacional o criptomoneda/USDT (los operadores LOTBA no aceptan cripto).
  • Hay errores de ortografía, logos de baja calidad o links que no funcionan.
  • El footer no muestra la habilitación LOTBA ni la leyenda obligatoria de juego responsable.

Regla de oro: ante cualquier duda, no cargués credenciales ni datos de tarjeta. Verificá primero el dominio.

Juego responsable y protección al jugador

Los operadores habilitados en Argentina están obligados a mostrar la leyenda “EL JUEGO COMPULSIVO ES PERJUDICIAL PARA LA SALUD | +18” (Res. 446/2025) y a incluir en el footer la referencia a saberjugar.gob.ar y la línea gratuita 0800 666 6006. También deben ofrecer verificación de edad (+18) y autoexclusión a través del sistema ReVA. La ausencia de cualquiera de estos elementos en el footer es, en sí misma, una señal de phishing.

Vale la pena remarcar el vínculo entre el phishing y el apuro: la urgencia por “no perder el bono” o por “aprovechar la oferta” es exactamente el mecanismo que explotan los sitios falsos para que la víctima cargue sus datos sin revisar el dominio. Tomarse diez segundos para confirmar que la URL termina en .bet.ar es el mejor hábito preventivo, independientemente del estado emocional con el que llegás al sitio.

Si sentís que el juego está afectando tu vida o la de alguien cercano, podés contactar saberjugar.gob.ar o llamar al 0800 666 6006 (línea gratuita y confidencial, disponible en todo el país).

Conclusión

El phishing de casinos imita a operadores conocidos para robarte usuario, contraseña y datos de tarjeta. El primer filtro es directo: el dominio oficial de cualquier operador habilitado en Argentina termina en .bet.ar, y HTTPS no prueba legitimidad. Si ya cargaste datos, frená la tarjeta con el banco, pedí el contracargo (hasta 120 días en Visa/Mastercard, ampliable por fraude), cambiá todas las claves comprometidas y denunciá el sitio ante la UFECI, CERT.ar y la Ventanilla Única Federal de Defensa del Consumidor. Tomarte diez segundos para verificar el dominio antes de ingresar cualquier dato es la defensa más efectiva contra el phishing de casinos.

EL JUEGO COMPULSIVO ES PERJUDICIAL PARA LA SALUD | +18. Si necesitás ayuda, contactá saberjugar.gob.ar o llamá al 0800 666 6006.