Un correo con el escudo de Anjouan, un enlace de verificación y una cuenta bloqueada. Con esos tres elementos, un usuario de CoinCasino entregó su DNI y un selfie a una página que no pertenecía ni al casino ni al regulador. El incidente ocurrió en un móvil Android, a las once y media de la noche, y tardó menos de cuatro minutos en completarse. Lo relevante no es la sofisticación del ataque, sino lo barato que resulta: un dominio .net, una plantilla copiada y la urgencia como palanca.
Anatomía del KYC falso que suplantó a Anjouan
El usuario había abierto cuenta en CoinCasino dos semanas antes. Depositó en criptomonedas, jugó en Plinko 2 y solicitó un retiro de 340 euros. El retiro quedó en revisión, algo habitual en el primer cobro. Al día siguiente recibió un email con asunto “Verificación pendiente – Anjouan Gaming Authority” que le pedía confirmar su identidad desde un botón. El mensaje imitaba la tipografía y el pie legal del regulador, incluía un número de expediente inventado y fijaba un plazo de 24 horas antes del cierre de la cuenta.
El enlace llevaba a un formulario con campos de nombre, fecha de nacimiento, número de DNI, dirección y dos cargas de archivo: anverso del documento y selfie sosteniéndolo. La página mostraba el logotipo de CoinCasino en la cabecera y un candado en la barra del navegador. El usuario rellenó todo desde el móvil, sin ampliar la URL. Cuando terminó, la web mostró un mensaje de “verificación en curso” y se cerró sola. No hubo más contacto.
La señal de alarma estaba en el remitente: el dominio terminaba en .net, no en el oficial del regulador. Un dominio parecido, con una letra cambiada, pero distinto. El usuario solo lo advirtió tres días después, cuando escribió al soporte real de CoinCasino para preguntar por su retiro y le confirmaron que no existía ninguna verificación pendiente. Para entonces sus datos ya circulaban en un foro de compraventa de identidades.
Por qué el phishing funciona mejor en móvil
En una pantalla de seis pulgadas, la barra de direcciones se comprime y el usuario lee el dominio de forma fragmentada. Los navegadores móviles muestran solo el dominio principal, así que un subdominio engañoso pasa desapercibido. A eso se suma que CoinCasino no dispone de archivo APK ni de aplicación oficial en la App Store: se instala como aplicación web desde el navegador. Esa ausencia de canal oficial crea un hueco que los estafadores explotan con supuestos “instaladores” o “centros de verificación” que en realidad son formularios de captura.
La app de CoinCasino requiere Android 8.0 o superior y iOS 12 o superior, y se añade al acceso directo en pantalla de inicio mediante el navegador. https://coincasino-online-es.com/app/ offers additional context worth reviewing. Ese mecanismo, propio de una aplicación web progresiva, no pasa por ninguna tienda ni por un proceso de revisión. El usuario que espera un archivo descargable es precisamente el perfil más vulnerable: busca algo que instalar y lo encuentra donde no debe.
Cómo distinguir el KYC legítimo del enlace trampa
CoinCasino opera con sello de Anjouan y no tiene licencia de la DGOJ. Eso significa que la verificación de identidad la gestiona el propio operador, no un organismo español, y que cualquier comunicación oficial llega desde los canales que el casino publica en su web. El regulador de Anjouan no envía correos personalizados a jugadores individuales pidiendo selfies. Si un mensaje atribuye esa solicitud al regulador, ya hay un problema de base.
La comprobación práctica se reduce a tres gestos: abrir la cuenta desde la URL escrita a mano en el navegador, nunca desde el enlace del correo; verificar que el dominio coincide carácter por carácter con el que figura en la web oficial; y desconfiar de cualquier plazo de 24 horas. Los plazos artificiales son la técnica más vieja del phishing y siguen funcionando porque apelan al miedo a perder el saldo. Un operador serio no cierra cuentas con fondos por no responder a un correo en un día.
También conviene revisar el contexto del bono. El código promocional WELCOME2026 está sujeto a requisitos de apuesta, y los estafadores lo usan como gancho en correos falsos que prometen “verificación express para liberar el bono”. Ningún bono legítimo exige enviar el DNI por un formulario externo. Las apuestas en CoinCasino exigen depósito previo en criptomonedas, y ese depósito se hace siempre dentro de la cuenta autenticada, no desde una pasarela intermedia.
| Canal o aviso | Qué solicita | Señal de riesgo | Acción correcta |
|---|---|---|---|
| Correo que suplanta a Anjouan | Selfie con DNI y número de documento | Dominio .net distinto al oficial | Ignorar y reportar al soporte real |
| Instalador APK de “CoinCasino” | Permiso para instalar desde fuentes desconocidas | CoinCasino no dispone de archivo APK | No instalar y usar la aplicación web |
| Aplicación en App Store | Descarga de app nativa | CoinCasino no tiene aplicación oficial en la App Store | Descartar cualquier app con ese nombre |
| Acceso directo en pantalla de inicio | Añadir la versión web móvil | Ninguna si se hace desde la URL oficial | Crear el acceso desde el navegador |
| Panel de cuenta autenticado | Documentación KYC estándar | Ninguna si se accede tras iniciar sesión | Subir documentos solo dentro de la cuenta |
El caso de este usuario terminó con el retiro liberado tras una verificación real hecha dentro de la cuenta, pero con el DNI expuesto. Cambió de documento, denunció y cerró la cuenta. La lección operativa es simple: en un casino móvil, la identidad se verifica dentro de la sesión iniciada, nunca desde un enlace recibido. Si el mensaje pide documentos, cierra el correo, abre el navegador, escribe la dirección oficial y comprueba allí si existe alguna tarea pendiente. Si el dispositivo ya instaló algo desde fuentes desconocidas, conviene revisar permisos y restaurar el navegador. Y si el juego deja de ser un entretenimiento, entidades como GamCare, BeGambleAware o Gamblers Anonymous ofrecen apoyo sin coste. La seguridad del dispositivo empieza por no entregar el DNI a quien lo pide por email.