¿Qué es el phishing?
Estrategia engañosa para robar información personal mediante correos o mensajes que imitan sitios legítimos.
El phishing consiste en falsificar la identidad de una entidad de confianza para engañar a la víctima. Un ejemplo típico: un correo que parece de tu banco te pide que inicies sesión en una página clonada — en realidad estás entregando tus credenciales al atacante.
¿Qué es CamPhish?
Herramienta open source que combina un servidor PHP con un túnel Ngrok/Serveo para capturar fotos de la cámara de la víctima mediante una página web falsa.
CamPhish sirve una página web falsa desde un servidor PHP integrado y la expone a Internet mediante Ngrok o Serveo. El enlace generado se envía a la víctima. Al abrirlo, la web solicita permiso de cámara y, si la víctima lo concede, comienza a capturar imágenes continuamente guardándolas en el directorio de la herramienta.
🌐
Servidor PHP
Sirve la página falsa localmente
🔗
Ngrok / Serveo
Túnel hacia Internet con HTTPS
📸
Captura cámara
API WebRTC del navegador
Escenario del ataque
El atacante genera un enlace malicioso y lo camufla. La víctima lo abre y da permiso a la cámara sin sospechar.
Atacante lanza CamPhish
Kali Linux
›
Genera enlace Ngrok
HTTPS público
›
Envía el enlace
QR · imagen · mensaje
›
Víctima hace clic
Abre la web falsa
›
Acepta permiso
Cámara comprometida
Diagrama: atacante → túnel → víctima. El consentimiento de la víctima es el punto crítico del ataque
🎯 Factor humano: La acción de la víctima es imprescindible para que el ataque se produzca. Cada paso puede ser interrumpido con la formación adecuada.
Instalación
CamPhish requiere PHP, SSH/Git y wget. Repositorio: github.com/techchipnet/CamPhish
Repositorio oficial en GitHub — techchipnet/CamPhish
bash — instalar dependencias y clonar
# Instalar dependencias (PHP, SSH, Git, wget)
apt-get -y install php openssh git wget
# Clonar el repositorio de CamPhish
git clone https://github.com/techchipnet/CamPhish
# Entrar al directorio
cd CamPhish
Instalación de dependencias y git clone
cd CamPhish — en el directorio
Ejecución de CamPhish
Un único comando lanza el script que guía el proceso completo de configuración interactiva.
bash camphish.sh
Menú de CamPhish — selección de servidor de túnel: [01] Ngrok · [02] Serveo.net
El programa ofrece dos opciones de túnel para exponer el servidor PHP a Internet. Ambas crean una URL pública HTTPS accesible desde cualquier dispositivo.
Configurar cuenta Ngrok
CamPhish solo necesita el authtoken del dashboard de Ngrok — sin configuración adicional.
Ngrok ofrece cuentas gratuitas en ngrok.com. Puedes registrarte con email/contraseña, Google o GitHub.
ngrok.com — registro gratuito
Sign up — email o cuenta de Google/GitHub
OAuth con Google — solicitud de permiso para crear cuenta
Dashboard Ngrok — copiar el authtoken
🔑 Solo necesitas el authtoken: CamPhish lo solicita directamente en la terminal. No necesitas instalar ni configurar nada más en Ngrok.
Seleccionar plantilla y obtener el enlace
CamPhish incluye tres plantillas de señuelo. El nombre del evento debe ser convincente para que la víctima haga clic.
[01]
🎪 Festival Wishing
[02]
▶️ Live Youtube TV
[03]
💼 Online Meeting
Selección de plantilla
Nombre del evento (señuelo)
Introducir authtoken Ngrok
Token introducido — CamPhish iniciando servidor PHP y Ngrok
Enlace generado:
https://XXXX-XX-XXX-XXX-XXX.ngrok-free.app · Kali queda a la escuchaℹ️ Ingeniería social: El nombre del evento («Barbacoa», «Premio», «Invitación»…) es determinante. El enlace se puede camuflar en un código QR, imagen o mensaje de texto para que parezca legítimo.
¿Qué ve la víctima?
El enlace Ngrok muestra primero una página de advertencia — una última oportunidad para que la víctima desconfíe antes de ser capturada.
Ngrok muestra una página de aviso con la IP del atacante — la víctima aún puede cancelar aquí
⚠️ Alerta visible: Ngrok revela la IP del atacante en esta página de advertencia. Serveo.net no emite esta alerta, lo que lo hace más peligroso desde la perspectiva del atacante. Un usuario formado debería detenerse aquí.
Si la víctima ignora la advertencia y hace clic en «Visit Site», aparece un formulario que solicita su nombre — aparentemente inofensivo. En ese momento el atacante ya captura la IP de la víctima.
Formulario de nombre — parece legítimo
Kali: [+] Target opened the link! · [+] IP: [capturada]
Tras introducir el nombre y aceptar, se carga la página de la plantilla. El navegador muestra el diálogo de permiso de cámara. Si la víctima acepta, comienza la captura.
Solicitud de permiso de cámara — el punto de no retorno
Página festival visible — cámara activa en segundo plano
Captura de imágenes en la máquina Kali
CamPhish recibe los frames de la cámara y los almacena como archivos PNG en el directorio ~/CamPhish.
[+] Cam file received! — imágenes llegando continuamente
ls ~/CamPhish — archivos .png con timestamp capturados
Directorio ~/CamPhish — galería de imágenes capturadas de la cámara de la víctima
bash — detener captura y ver archivos
# Detener la captura
Ctrl+C
# Listar imágenes capturadas
ls ~/CamPhish/*.png
# Abrir el directorio gráficamente
nautilus ~/CamPhish # o thunar, nemo, etc.Resumen — Cómo protegerse · Lado de la víctima
Cuatro oportunidades para detener el ataque antes de que llegue a producirse. En cada una el usuario podría haber abortado.
1
No hacer clic en enlaces de procedencia desconocida. Este es el primer y más efectivo cortafuegos. Si no sabes quién envió el enlace o por qué, no lo abras.
2
Observar la URL y desconfiar de dominios sospechosos. URLs con dominios
ngrok-free.app, serveo.net, no-ip.org o que muestren una IP directa deben ser señales de alarma inmediata.3
Rechazar permisos de cámara sin justificación clara. Un sitio web de «felicitaciones» o «concursos» no tiene ningún motivo legítimo para necesitar acceso a la cámara. Denegar siempre salvo que sea absolutamente necesario y el sitio sea de confianza verificada.
4
Usar una cubierta física para la cámara. Si la cámara está tapada físicamente, ningún ataque de este tipo puede obtener imágenes aunque consiga el permiso del navegador. Una solución de bajo coste con máxima efectividad.
🎓 La formación es la mejor defensa: La acción de la víctima fue imprescindible en cada etapa del ataque. Con la formación adecuada en ciberseguridad, cualquiera de los cuatro puntos anteriores habría sido suficiente para frustrarlo completamente.
Marco Legal — España
Usar CamPhish sin consentimiento vulnera al menos cuatro normativas legales en España. Las penas incluyen prisión y multas.
Art. 197 CP — Descubrimiento y revelación de secretos
Sanciona capturar, reproducir o publicar imágenes de una persona en momentos de su vida privada sin autorización. Penas: 1 a 4 años de prisión + multa de 12 a 24 meses.
Art. 197.7 CP — Difusión no consentida de imágenes íntimas
Incluso si las imágenes fueron obtenidas con consentimiento inicial, difundirlas sin autorización posterior es delito. Penas: 3 meses a 1 año de prisión o multa de 6 a 12 meses.
Ley Orgánica 1/1982 — Derecho a la propia imagen
Considera intromisión ilegítima la captación, reproducción o publicación de la imagen de una persona sin su consentimiento, especialmente en contextos de vida privada.
LOPDGDD — Ley de Protección de Datos Personales
Obtener y tratar imágenes sin consentimiento del afectado constituye infracción administrativa. Multas variables según gravedad y circunstancias.
🚨 Uso exclusivamente educativo: Esta guía tiene como único propósito la concienciación y la formación en ciberseguridad. Utilizar CamPhish o cualquier herramienta similar para obtener imágenes de terceros sin su consentimiento es un delito en España y en la mayoría de países, con penas de prisión incluidas.