Un certificado HTTPS válido, un logotipo cuidado y elementos visuales de alta definición tranquilizan, pero producirlos cuesta muy poco. Para detectar las señales de alerta de un sitio web sospechoso, hay que cruzar varios indicios técnicos y legales, no fiarse de una impresión visual. En este artículo repasamos los criterios medibles que permiten distinguir un sitio fiable de una fachada fraudulenta.
Fiabilidad de un sitio web: tabla de señales técnicas que conviene contrastar
Ninguna señal aislada basta para calificar un sitio de fraudulento. El diagnóstico depende de la combinación de varios indicadores. La siguiente tabla reúne las comprobaciones más reveladoras, clasificadas por nivel de fiabilidad.
| Señal comprobada | Sitio fiable | Sitio sospechoso |
|---|---|---|
| Antigüedad del dominio (WHOIS) | Varios años, propietario identificable | Dominio registrado hace unas semanas o meses, datos ocultos |
| Aviso legal / condiciones generales de venta | Razón social, SIRET, dirección física, contacto | Ausentes, incompletos o copiados de otro sitio |
| Identidad del vendedor (marketplace) | Nombre, país y condición profesional indicados antes de la compra | Ninguna información sobre el vendedor externo |
| URL y nombre de dominio | Coherente con la marca, sin caracteres sospechosos | Errores ortográficos, varios guiones, extensión inusual (.xyz, .top) |
| Advertencia del navegador | Ningún mensaje de seguridad | Alerta de «sitio engañoso» o certificado caducado |
| Política de pago | Métodos de pago rastreables (tarjeta, PayPal) | Solo transferencia bancaria, criptomonedas obligatorias |
Un dominio creado hace menos de tres meses, junto con la ausencia de avisos legales, constituye un conjunto de indicios suficiente para renunciar a cualquier compra. A continuación, analizamos las discrepancias más reveladoras.
URL y nombre de dominio: primeros indicios de estafa en línea
La dirección web sigue siendo el primer elemento que conviene examinar. Los llamados ataques homográficos consisten en sustituir una letra por un carácter visualmente parecido (una «q» en lugar de una «g», o «rn» para imitar una «m»). Este tipo de manipulación se dirige a marcas conocidas para atraer tráfico de confianza.
Un artículo que explica cómo detectar un sitio sospechoso como Aplouf.com ilustra bien el método: comprobar la coherencia entre el nombre de dominio, la actividad que declara y la información legal que muestra.
Más allá de la ortografía, conviene prestar atención a la extensión del dominio. Las extensiones genéricas baratas (.top, .xyz, .click) aparecen de forma desproporcionada en las campañas de phishing porque cuestan menos de un euro al año. Un sitio comercial francés legítimo suele utilizar .fr o .com.
Obligaciones legales recientes: qué debe mostrar un sitio en Francia y en la UE
La normativa ofrece criterios objetivos para evaluar un sitio, siempre que se sepa qué buscar.
- La ley SREN del 21 de mayo de 2024 obliga a los marketplaces a indicar claramente si el vendedor es un profesional o un particular. La ausencia de esta mención en un mercado en línea constituye un incumplimiento legal y una señal de alerta concreta.
- El DSA (Digital Services Act) obliga a las plataformas a recopilar y poner a disposición cierta información de identificación de los vendedores profesionales antes de cualquier transacción.
- Desde el 13 de diciembre de 2024, el Reglamento europeo sobre seguridad general de los productos exige que las fichas de producto indiquen un responsable establecido en la UE, junto con sus datos de contacto. Vender un producto en línea sin esta información infringe la normativa.
Estas obligaciones ofrecen varios puntos de control. Que un sitio no las cumpla no significa necesariamente que sea fraudulento, pero sí que opera al margen del marco legal aplicable, lo que reduce las posibilidades de obtener reparación en caso de litigio.
Avisos legales ausentes o genéricos
La DGCCRF recomienda comprobar que figuren la razón social, una dirección física y un número de registro. En un sitio francés, la ausencia del número SIRET es una señal importante. Copiar la dirección postal y buscarla en un motor de búsqueda permite comprobar, en ocasiones, si corresponde a un terreno baldío o a otro negocio sin relación.
Escenarios de manipulación recientes: ClickFix y CAPTCHA falsos
Las técnicas de engaño van más allá del phishing clásico por correo electrónico. El escenario ClickFix se basa en una página que simula un error técnico o un CAPTCHA y luego pide al usuario que copie y ejecute un comando en su propio ordenador. La víctima cree que está resolviendo un problema técnico, cuando en realidad está instalando un programa malicioso por sí misma.
Google ha respondido incorporando una protección específica en Chrome: el navegador puede ahora avisar al usuario antes de pegar un comando que considere peligroso. Este tipo de alerta del navegador es una señal que nunca se debe ignorar.
Solicitudes de permisos inusuales en la página
Un sitio legítimo no pide acceso a las notificaciones nada más abrir la página de inicio, ni permiso para leer el portapapeles. Estas solicitudes prematuras delatan una intención de recopilar datos de forma agresiva. Si una página te invita a permitir las notificaciones antes incluso de que hayas consultado su contenido, cierra la pestaña.
Comprobación rápida de la reputación de un sitio: método en tres pasos
La DGCCRF propone un método sencillo: escribir el nombre del sitio seguido de la palabra «estafa» en un motor de búsqueda. Combinado con otras dos comprobaciones, este método permite detectar la mayoría de los casos.
- Buscar el nombre del sitio o del producto junto a «estafa» u «opiniones» para encontrar posibles comentarios negativos de otros consumidores.
- Consultar una herramienta WHOIS para comprobar la fecha de creación del dominio y la identidad de su titular. Un dominio de apenas unas semanas asociado a una tienda que ofrece precios muy bajos es una señal de alerta fiable.
- Comprobar si el sitio tiene presencia en las redes sociales: una actividad regular acompañada de comentarios auténticos es un indicio positivo, aunque no constituye una garantía absoluta.
Estas tres comprobaciones llevan menos de un minuto y permiten descartar la gran mayoría de los sitios fraudulentos antes de interactuar con la página de pago.
El candado HTTPS, que suele percibirse como una garantía de seguridad, solo indica que la conexión está cifrada. Un sitio de phishing puede tener un certificado SSL válido obtenido gratuitamente. Este criterio, por sí solo, no demuestra que un sitio sea fiable y siempre debe contrastarse con las señales mencionadas anteriormente.
