Cómo detectar páginas falsas y saber si una tienda es real

Una página falsa casi siempre se delata en tres lugares: la dirección, la edad del dominio y la página misma. Revisa que la dirección sea exactamente la que esperas, desconfía de los dominios registrados hace pocas semanas y no te fíes solo del candado, porque cualquiera lo consigue gratis. Si una tienda solo acepta transferencias y no hay detrás una empresa que puedas verificar, no compres.

Empieza por la dirección: dominios parecidos

El dominio es el nombre del sitio, lo que va después de https:// y antes de la siguiente barra, por ejemplo tienda-ejemplo.co. Los estafadores no pueden usar el verdadero, así que eligen nombres que a primera vista se ven iguales:

• Letras cambiadas o de más. tienda-ejenplo.co, tiendaa-ejemplo.co o tienda-ejernplo.co, donde "rn" pasa por "m". Los números 0 y 1 también pueden hacerse pasar por la o y la l.
• Palabras de más. tienda-ejemplo-outlet.com o tubanco-seguro-ingreso.com. Agregarle "oficial" a un nombre no cuesta nada y no demuestra nada.
• Otra terminación. La parte final (.com, .co, .shop) se llama dominio de nivel superior. Una tienda real en tienda-ejemplo.co no tiene nada que ver con tienda-ejemplo.shop.
• El nombre real en el lugar equivocado. En tubanco.co.verificar-cuenta.net, el sitio al que llegas es verificar-cuenta.net. Lee el dominio desde el final.
• Letras de otros alfabetos. La "а" cirílica se ve idéntica a la "a" latina, así que tubаnco.co escrito con ella es otro dominio. Por dentro, los navegadores convierten estos nombres a una forma en ASCII llamada punycode, que empieza por xn--: ese en realidad es xn--tubnco-5nf.co. Los navegadores suelen mostrar la forma xn-- cuando detectan alfabetos mezclados, pero no siempre.

Un dominio recién creado es una señal de alerta

Todo dominio tiene una fecha de registro. Las tiendas, los bancos y las entidades del Estado suelen tener dominios con años. Las tiendas falsas y las páginas de phishing (las que se hacen para robar contraseñas o datos de tarjetas) suelen usar dominios registrados días o semanas antes. Las bloquean rápido, así que los estafadores simplemente registran otro.

Un dominio joven no prueba que haya fraude: los negocios nuevos existen. Pero una "tienda" que dice tener diez años en el mercado con un dominio registrado el mes pasado está mintiendo. Y el sitio no puede falsear esa fecha, porque la da el registro del dominio, no la página.

Por qué el candado no significa que el sitio sea honesto

HTTPS significa que la conexión entre tu celular o computador y el sitio va cifrada, así que nadie en el mismo Wi-Fi puede leer lo que envías. El candado (en las versiones recientes de Chrome aparece un ícono de ajustes en su lugar) solo te dice eso, no quién está del otro lado.

Para usar HTTPS, un sitio necesita un certificado, un pequeño archivo que demuestra que controla el dominio. Los certificados son gratis: Let's Encrypt y servicios parecidos los emiten automáticamente a cualquiera que controle un dominio, estafadores incluidos. Por eso casi toda tienda falsa tiene candado. Si no hay candado, vete; si lo hay, eso no es razón para confiar.

Señales de alerta en la página

• Precios demasiado buenos. Celulares o tenis a mitad de precio o menos, cuando en todas las demás tiendas cuestan lo normal.
• Solo transferencia. El pago con tarjeta "falla" y te piden transferir a una cuenta personal o a una billetera digital. Una transferencia es muy difícil de reversar.
• Sin datos de contacto reales ni identificación de la empresa. Solo un número de WhatsApp, sin dirección ni razón social. En Colombia, un negocio formal tiene NIT (Número de Identificación Tributaria) y está inscrito en una cámara de comercio. En otros países, busca el número de registro equivalente.
• Reseñas copiadas. Decenas de reseñas de cinco estrellas de la misma semana y con el mismo estilo, o fotos sacadas de otras tiendas.
• Presión. Contadores que vuelven a empezar cuando recargas la página, "quedan solo 2" en todos los productos, una oferta que "termina hoy" todos los días.

Cómo revisar un sitio, paso a paso

1. Copia la dirección exacta desde la barra del navegador en vez de escribirla de memoria. Si te llegó en un mensaje, en ¿Este link es seguro? explicamos los enlaces cortos y las redirecciones.
2. Busca caracteres parecidos. Pégala en el Detector de dominios falsos. Te muestra la dirección punycode real y marca las letras de otros alfabetos, los números mezclados y trucos como "rn". Funciona en tu dispositivo: no se envía nada a ningún lado. Un resultado limpio solo quiere decir que no hay caracteres ocultos, así que igual compara el nombre letra por letra.
3. Revisa la edad del dominio. Escribe el dominio principal (ejemplo.com, no tienda.ejemplo.com) en Edad de un dominio. El dominio va a nuestro servidor (api.ethorns.com), que consulta al registro oficial por RDAP, el reemplazo moderno de WHOIS, y guarda solo el resultado durante una hora. Algunos registros de país, entre ellos el de .co, todavía no ofrecen RDAP. Si no aparecen fechas, apóyate más en las otras revisiones.
4. Mira el certificado. Verificar certificado SSL te dice quién lo emitió, cuándo y qué nombres cubre. Nuestro servidor se conecta al sitio en el puerto 443 y guarda solo el resultado durante diez minutos. Que el certificado sea gratis es normal. Pero si el certificado y el dominio se crearon esta misma semana y la tienda dice tener años, algo no cuadra.
5. Haz un escaneo rápido. El Escaneo de seguridad web lee la página de inicio como lo haría un navegador y califica su configuración de seguridad. El dominio va a nuestro servidor, que guarda solo el resultado durante una hora. La nota habla del cuidado técnico, no de la honestidad: un sitio estafador puede sacar A y una tienda pequeña y honesta, D.
6. Busca a la empresa por fuera del sitio. Busca el nombre de la tienda junto con palabras como "estafa" o "opiniones". Ubica la dirección en un mapa y llama al teléfono. En Colombia, consulta el NIT o la razón social en el RUES, el registro público de las cámaras de comercio.
7. Paga con un medio protegido. La tarjeta de crédito suele ser la opción más segura, porque tu banco puede disputar el cobro (un contracargo) si el producto nunca llega. El pago contra entrega también es buena opción. No transfieras a una cuenta personal para comprarle a una tienda que no conoces.

Si ya pagaste o escribiste tus datos

1. Llama a tu banco de inmediato, al número que aparece detrás de tu tarjeta o en su app oficial, nunca a uno que salga en el sitio. Bloquea la tarjeta si escribiste sus datos y pregunta cómo disputar el cobro. En Colombia, el Estatuto del Consumidor (Ley 1480 de 2011, artículo 51) permite pedir la reversión del pago en compras por internet hechas con tarjeta u otro medio de pago electrónico cuando hubo fraude o el producto no llegó. Tienes cinco días hábiles para presentar la queja al vendedor y avisar a tu banco.
2. Cambia tu contraseña si la escribiste en el sitio falso: primero en el sitio real y luego en cualquier otro donde la repitas, y activa la verificación en dos pasos. En la guía cómo saber si tu contraseña fue filtrada te explicamos el resto.
3. Guarda las pruebas: la dirección, capturas de pantalla, el comprobante y los chats.
4. Denúncialo. En Colombia puedes reportar fraudes en línea a la Policía Nacional a través del CAI Virtual. También puedes reportar el sitio a Google Safe Browsing para que los navegadores les avisen a otras personas.
5. Cuidado con una segunda estafa. Pueden llamarte falsos "asesores del banco" o "servicios de recuperación" que prometen devolverte la plata. Nunca les des contraseñas ni códigos.

Lista rápida

• El dominio es exactamente el que esperas, leído desde el final y sin xn--.
• El dominio no tiene apenas unas semanas.
• No te fías solo del candado.
• El precio se parece al de otras tiendas.
• La dirección, el teléfono y el NIT o registro de la empresa se pueden comprobar en otra parte.
• Puedes pagar con tarjeta de crédito o contra entrega, no solo por transferencia.

Preguntas frecuentes

¿Si tiene candado, el sitio es seguro?

No. El candado solo significa que la conexión va cifrada. Los certificados son gratis y automáticos, así que las tiendas falsas también los tienen.

¿Un dominio nuevo puede ser de un negocio real?

Sí. Un dominio joven es una razón para mirar con más cuidado las demás señales, no una prueba de fraude. Se vuelve una alerta fuerte cuando contradice lo que el sitio dice de sí mismo, o cuando el nombre imita una marca conocida.

La tienda tiene muchos seguidores en redes sociales. ¿Con eso basta?

No. Los seguidores y los comentarios se pueden comprar, y las tiendas falsas suelen pagar publicidad. Haz las mismas revisiones.

¿Y si la tienda solo vende por WhatsApp?

Muchos negocios pequeños y honestos venden así. Pide la razón social o el NIT y verifícalo, prefiere el pago contra entrega o con tarjeta, y no hagas transferencias por adelantado a una cuenta que no puedes verificar.

Pruébalo

• 1.7Detector de dominios falsosRevisa si un enlace o dominio imita a otro: letras de otros alfabetos, números por letras, un dominio real escondido.
• 1.8Edad de un dominioMira cuándo se registró un dominio, cuándo vence, su registrador y sus DNS.
• 1.6Verificar certificado SSLRevisa el certificado SSL/TLS de cualquier sitio: si es válido, cuándo vence, quién lo emitió, qué nombres cubre y qué versión de TLS usa.
• 1.5Escaneo de seguridad webRevisión pasiva de la página de inicio de un sitio: HTTPS, certificado TLS, HSTS, CSP, clickjacking, cookies y security.txt, con nota y correcciones.

Para tu equipo

• US$19Kit antiphishing para pequeñas empresasUna charla de 30 minutos sobre mensajes falsos, lista para tu equipo: guía para quien la dirige, 12 mensajes de ejemplo, un póster, una política y un quiz.