El candado verde está ahí. La conexión es segura. El navegador no muestra ninguna advertencia. Y sin embargo, la web que tienes delante va a robarte el dinero o los datos.
Confiar en el candado y en el HTTPS es uno de los errores más comunes en seguridad digital. El cifrado SSL garantiza que la comunicación entre tu navegador y el servidor es privada — nadie puede interceptarla en tránsito. No garantiza nada sobre quién hay al otro lado ni qué va a hacer con tus datos. Un estafador puede obtener un certificado SSL válido en cuestión de minutos y de forma completamente gratuita. El candado verde solo dice que la conexión está cifrada. No dice que sea legítima.
🔍 ¿Dudas de un mensaje recibido?
Analiza remitentes, enlaces o archivos en tiempo real con nuestro scanner.
Las webs en zona gris: ni phishing clásico ni sitios limpios
El phishing clásico suplanta a una marca conocida — el banco, Correos, la Agencia Tributaria — para robar credenciales o datos bancarios. Ese tipo de ataque deja señales técnicas detectables: el dominio no coincide, la autenticación del remitente falla, la antigüedad del dominio es de días.
Hay otro tipo de web fraudulenta más difícil de detectar porque no suplanta a nadie — opera bajo su propia identidad, con su propio dominio, con su propio certificado, y con una apariencia de negocio legítimo. Kaspersky las llama webs de zona gris: no siempre incumplen la ley de forma obvia, pero están diseñadas para que pierdas dinero, datos o ambas cosas.
Estas son las variantes más comunes.
Tiendas online fraudulentas
La mecánica es conocida pero sigue funcionando: precios muy por debajo del mercado, fotos de producto atractivas, proceso de compra aparentemente normal. El resultado puede ser un producto falsificado, una versión miniaturizada del artículo pedido, una foto impresa del producto — o directamente nada, con el dinero y los datos de la tarjeta ya en manos del estafador.
El problema no termina con el dinero perdido. Para tramitar el pedido, la tienda ha recopilado nombre real, dirección, teléfono, email y datos de pago. Esa información se vende en mercados de datos robados o se usa para lanzar campañas de phishing posteriores más personalizadas.
Plataformas de inversión y exchanges de criptomonedas
Prometen rentabilidades extraordinarias en plazos muy cortos. La víctima ve crecer su saldo en la plataforma — un saldo que no existe, generado artificialmente para mantener la ilusión. Cuando intenta retirar el dinero, aparece una "comisión de desbloqueo" o un "impuesto previo" que debe pagar para acceder a sus fondos. Paga. Los fondos no llegan. Pide más dinero.
En variantes más sofisticadas, la plataforma roba directamente claves privadas de carteras de criptomonedas o redirige al usuario a páginas de phishing que capturan sus credenciales de exchanges legítimos.
Servicios intermediarios falsos
Se presentan como gestores que facilitan trámites oficiales — visados, autorizaciones de viaje, documentación administrativa — cobrando tarifas muy superiores al coste real del trámite oficial, que en muchos casos es gratuito o tiene un coste mínimo. En versiones más peligrosas, actúan como supuestos abogados o agentes inmobiliarios, recopilan documentación personal sensible — DNI, número de seguridad social, contratos — y desaparecen.
La información personal recopilada en este tipo de estafas puede usarse para solicitar créditos en nombre de la víctima o para acceder a servicios gubernamentales y secuestrar sus cuentas.
Extensiones de navegador fraudulentas
Se presentan como antivirus, bloqueadores de anuncios o herramientas de privacidad. Una vez instaladas, modifican la configuración del navegador y del buscador predeterminado, extraen el historial de navegación y las búsquedas, redirigen al usuario a páginas de phishing, e interceptan cookies de sesión — lo que permite al atacante secuestrar cuentas activas sin necesidad de conocer la contraseña.
Las valoraciones positivas y el número de descargas no son indicadores fiables de seguridad — las reseñas falsas son fáciles de generar y los atacantes saben usarlas.
Suscripciones trampa
El primer pago es simbólico — un euro, un dólar. Las condiciones de renovación están enterradas en los términos de servicio en letra pequeña: el siguiente cargo, semanas después, puede ser diez o veinte veces mayor. Algunas incluyen cláusulas que declaran los cargos no reembolsables. La cancelación requiere pasos deliberadamente complicados.
Cómo verificar una web antes de darle tus datos
El candado no es el indicador. Estos sí lo son.
La antigüedad del dominio es la primera señal. Una tienda que lleva dos semanas en internet y ofrece precios un 70% por debajo del mercado no tiene ninguna lógica comercial. Puedes consultar la antigüedad de cualquier dominio mediante una búsqueda WHOIS — un dominio registrado hace días o semanas para un supuesto negocio establecido es una señal de alarma inmediata.
La ausencia de información verificable es la segunda. Un negocio legítimo tiene dirección física registrada, contacto de soporte real, presencia en redes sociales con historial, y reseñas en fuentes independientes. Si buscas el nombre de la empresa y no encuentras nada — o encuentras solo reseñas genéricas que suenan copiadas — no introduzcas tus datos.
La presión temporal es la tercera. "Solo quedan 2 unidades", "la oferta expira en 10 minutos", "hay 100 personas viendo esto ahora". La urgencia artificial es una técnica de venta agresiva que también es una técnica de fraude — impide que el usuario tome tiempo para verificar.
Las formas de pago son la cuarta. Si un sitio solo acepta transferencia bancaria, criptomonedas o servicios de pago difíciles de revertir, es porque sabe que no va a devolver el dinero. Las tarjetas de crédito tienen mecanismos de contracargo — los estafadores los evitan.
Qué hacer si crees haber caído en una web fraudulenta
Si has introducido datos bancarios o de tarjeta: llama a tu banco inmediatamente para bloquear la tarjeta y activar una alerta de fraude en la cuenta.
Si has creado una cuenta con usuario y contraseña: cambia esa contraseña en todos los servicios donde la uses — y si no usas un gestor de contraseñas, este es el momento de empezar a hacerlo.
Si has instalado una extensión de navegador sospechosa: desinstálala desde la configuración del navegador, revisa qué permisos tenía concedidos, cierra sesión en todos tus servicios importantes y vuelve a iniciarla.
Si has facilitado documentación personal: monitoriza tus cuentas bancarias y de crédito durante las semanas siguientes — este tipo de información se usa con frecuencia para solicitar créditos fraudulentos.
Si recibes un correo o un mensaje con un enlace a una web que no reconoces, analízalo en ORTSLAB antes de abrirlo. El motor verifica la antigüedad del dominio, su reputación, la autenticación del remitente y los patrones de ingeniería social — señales que el candado verde nunca te va a dar.