RegistroCiberVE
All incidents
phishing via dns redirection Estimated start: Date confidence: Medium

Phishing contra Héroes de la Salud mediante redirección DNS en CANTV

La redirección DNS observada en CANTV el 26 de abril de 2020 enviaba consultas de heroesdesaludve.info hacia heroesdesaludve.co, un clon de la plataforma Héroes de la Salud. El clon reproducía el registro y solicitaba cédula, nombres, fecha de nacimiento, género, teléfono, dirección, correo, datos laborales e imágenes de documentos oficiales. El 28 de abril, saludvzla.com apuntaba al mismo servidor. Las capturas y el análisis apoyan el mecanismo de phishing y la participación de infraestructura de CANTV, pero no confirman cuántas personas enviaron información, una extracción efectiva ni que el gobierno de Nicolás Maduro ordenara la operación. Efecto Cocuyo y Freedom House reportaron el caso, aunque dependieron sustancialmente de VE sin Filtro.

Overview

Missing evidence

export o captura forense independiente de las respuestas DNSconteo confirmado de usuarios que enviaron el formularioevidencia de almacenamiento o exfiltración efectivadeclaración directa de CANTV o del gobiernoidentificación técnica del operador de la campaña

Impact details

Las fuentes y capturas confirman que el clon solicitaba información personal y que la respuesta DNS observada impedía a usuarios de CANTV llegar normalmente al sitio legítimo. No se publicó un conteo de formularios enviados, un conjunto de datos capturado ni prueba de exfiltración efectiva. Los tipos enumerados describen campos solicitados o visibles, no datos confirmados como sustraídos.

cédula de identidadnombres y apellidosfecha de nacimientogéneronúmero telefónicoestado, municipio y dirección de residencia

Classification & severity

Category
Fraud
Subtype
phishing via dns redirection
Confidence
High

VE sin Filtro documentó respuestas DNS falsas observadas en CANTV, un dominio clon y un formulario que solicitaba información personal. Efecto Cocuyo y Freedom House corroboran la publicación, aunque dependen del análisis primario.

Severity assessment

Medium
Functional impact
Degraded (non-critical)
Information impact
Suspected
Affected scope
Multiple users
Critical service
None
Public confidence
Moderate

El mecanismo desvió usuarios de una plataforma de ayuda sanitaria hacia un formulario que solicitaba datos sensibles durante la pandemia. El riesgo de privacidad y represalias es material, pero no se conoce el número de envíos, la duración ni una exfiltración confirmada.

Data exfiltration· Claimed Reported disruption IntegrityAvailability

Timeline

Discovery

VE sin Filtro observó a más tardar a las 19:26 VET que CANTV respondía con información DNS falsa para heroesdesaludve.info y dirigía navegadores al clon heroesdesaludve.co.

Publication

VE sin Filtro publicó su informe preliminar y Efecto Cocuyo reportó la campaña basándose en ese análisis.

Update

VE sin Filtro actualizó el informe para indicar que el dominio alternativo saludvzla.com apuntaba al mismo servidor que el clon.

Evidence & sources

3 sources

Preliminar report: State sponsored phishing against healthcare workers amid COVID-19 pandemic in Venezuela

VE sin Filtro Apr 27, 2020
Primary Security research Source confidence: High

What this source supports

  • VE sin Filtro observed false CANTV DNS responses for heroesdesaludve.info by 19:26 VET on 26 April 2020
  • the false response sent users toward the look-alike domain heroesdesaludve.co and saludvzla.com later pointed to the same server
  • the clone requested identity, residence, contact, work and official-document information
  • the report attributes infrastructure participation to state-owned CANTV but publishes no victim-submission count

Evidence limits

Primary technical observation and screenshots support the phishing/DNS-redirection mechanism. Public material does not include a confirmed submission count, captured dataset, raw measurement export or independent proof that the Maduro government directed the action.

Relevance to this case

Strongest source for the observed CANTV response, clone, requested fields and 26–28 April timeline.

Héroes de la salud: cómo protegerse de la "piratería" del phishing

Shari Avendaño / Efecto Cocuyo Apr 27, 2020
Corroborating Media report Source confidence: Medium

What this source supports

  • Contemporaneously reports VE sin Filtro's phishing warning
  • describes CANTV users being directed to heroesdesaludve.co through DNS manipulation
  • warns that the clone sought personal data but supplies no independent technical measurement or submission count

Evidence limits

Contemporaneous journalism substantially dependent on VE sin Filtro; no independent DNS capture, confirmed submission or actor validation.

Relevance to this case

Corroborates public reporting and preserves a composite screenshot of the warning and phishing form.

Venezuela: Freedom on the Net 2020 Country Report

Freedom House Oct 14, 2020
Corroborating Security research Source confidence: Medium

What this source supports

  • Records that VE sin Filtro reported a phishing attack assisted by CANTV against the Héroes de la Salud platform
  • repeats that the look-alike site requested identity-card, work/home-address and official-document information
  • describes potential privacy and retaliation risks to public-sector health workers

Evidence limits

Strong institutional synthesis but technically dependent on VE sin Filtro. It does not establish successful submissions, a victim count or independent state-command attribution.

Relevance to this case

Preserves later authoritative recognition of the event and its privacy/retaliation risk.