Cómo detectar una web falsa antes de pagar

Una página falsa puede copiar el nombre, las fotos, las descripciones de producto, las opiniones y el pie de página de una tienda real. Que esté bien hecha solo dice que alguien la construyó bien. No dice quién controla la dirección.

Empieza por el dominio, que es la parte de la dirección ligada a quien responde por la web. Después comprueba el canal oficial y el pago fuera de la página en la que has caído. Ninguna señal suelta da certeza, pero un detalle que no encaja ya es motivo para parar.

Qué comprobar en un minuto

Si estás a punto de pagar, haz solo esto:

1. Lee la dirección en la barra del navegador, letra a letra. La dirección, no el nombre impreso en la página.
2. Busca la razón social y el NIF en el aviso legal, en las condiciones o en la política de privacidad, y comprueba ese nombre fuera de la web.
3. Busca el nombre de la tienda junto a la palabra «reclamación» o «estafa», lejos de su propia página.
4. Mira quién va a recibir el dinero. Compara el nombre que enseñan el banco o la pasarela de pago con la empresa que has buscado.

Si algo no cuadra, no pagues todavía. Sal de la página y busca tú la dirección oficial antes de seguir.

1. Lee la dirección letra a letra

La dirección entera merece atención porque las palabras conocidas pueden estar colocadas en partes que no dicen nada sobre quién es el dueño del dominio. El INCIBE hace el mismo apunte sobre los enlaces en su página sobre el phishing: escribe tú una dirección que ya conozcas, en vez de fiarte de la que te han pasado.

Las direcciones de los ejemplos de este artículo están inventadas. Toma esta: https://pago.tienda-ejemplo.es/pedido. El protocolo es «https://», el nombre completo del sitio es «pago.tienda-ejemplo.es», el dominio es «tienda-ejemplo.es» y la ruta es «/pedido». El dominio es la última parte antes de la primera barra, y es la que decide de quién es la página. Para saber de quién es una dirección que te han enviado, compara ese dominio con la dirección oficial que hayas encontrado por tu cuenta.

• Una letra cambiada o repetida. Una letra de más, una «i» que se convierte en «l», una «m» escrita como «rn».
• Una palabra pegada al final. Algo como «oficial», «promo», «espana» o «outlet» añadido al nombre real.
• Una marca metida en el subdominio o en la ruta. Una palabra conocida puede aparecer antes del dominio, o después del nombre del sitio en la ruta, sin que eso haga oficial la dirección.
• Una terminación rara. Una tienda que vende en España suele terminar en «.es» o en «.com». Terminaciones poco habituales, o una dirección de alojamiento gratuito con el nombre de la marca dentro, piden una segunda mirada. Ojo: «.es» tampoco es un sello de calidad, porque cualquiera puede registrar uno.

Dos costumbres cubren casi todo esto: no abras la tienda desde el enlace de un mensaje y, en caso de duda, escribe tú la dirección o entra por la aplicación que ya tienes instalada. En cómo saber si un enlace es seguro están los demás trucos, como la arroba en mitad de una dirección o las letras prestadas de otro alfabeto.

2. Averigua quién está detrás del negocio

Una tienda de verdad dice quién es. Busca una razón social, un NIF, una dirección y un teléfono o un correo, normalmente en el aviso legal, en las condiciones de compra o en la política de privacidad. Una tienda que vende a toda España y solo te da un formulario y un nombre de pila se ha dejado fuera justo la información que necesitarías para reclamar si el pedido sale mal.

Después busca ese nombre. El Registro Mercantil Central, que depende del Ministerio de Justicia, permite consultar denominaciones de sociedades, y el Registro Mercantil de cada provincia guarda los datos de las sociedades inscritas allí. Lo que estás comparando es sencillo: si existe una sociedad con ese nombre, si sigue activa y si lo que hace tiene algo que ver con lo que te están vendiendo.

No encontrar nada no es, por sí solo, una prueba de fraude. Hay negocios que operan con un nombre comercial distinto del de la sociedad, y hay autónomos que no aparecen en el Registro Mercantil. Lo que sí significa es que todavía no sabes a quién estás pagando, y esa es la pregunta que tienen que responder las demás comprobaciones.

3. Mira cuántos años tiene la web

Los datos públicos de un dominio incluyen la fecha en la que se registró. Para un dominio «.es», el registro lo gestiona Dominios.es, que forma parte de la entidad pública Red.es y ofrece consulta de esos datos. Para el resto de terminaciones, la consulta pública de ICANN enseña lo mismo. Los datos de contacto suelen estar ocultos por privacidad, así que el campo útil casi siempre es la fecha de creación.

Un dominio registrado hace unas semanas merece más cuidado cuando aparece junto a un precio raro, un contacto que no funciona o un pago que va a parar a un sitio que no tiene nada que ver. Por sí sola, la antigüedad no demuestra nada: todos los días se lanzan webs honestas, y webs antiguas son asaltadas.

4. Mira dos veces el precio y la prisa

Un precio muy por debajo del de todo el mundo, junto a un plazo que se acaba, es la combinación por la que merece la pena frenar. Las dos cosas están ahí para que te saltes las comprobaciones.

• Un precio fuera de rango: compáralo con otras tiendas en vez de fiarte del número del anuncio.
• Un plazo medido en minutos: los relojes de cuenta atrás, el «últimas unidades» y la amenaza de perder la oferta existen para que no mires.
• Un descuento atado a una forma de pago: si la oferta solo vale pagando de una manera que no se puede deshacer, comprueba la empresa y el destinatario antes de renunciar a la protección que te da una tarjeta.

5. Prueba los canales de contacto

Un teléfono escrito en una página no es lo mismo que un negocio que responde. Busca el canal de la empresa fuera del enlace que te han mandado y haz una pregunta concreta sobre el pedido, el envío o la devolución. Un contacto que nunca contesta, o que solo devuelve respuestas automáticas, no prueba que haya fraude, pero deja abierta una pregunta importante.

Compara el teléfono, el correo y la dirección con lo que hayas encontrado en el registro y en las páginas de la propia tienda. Una empresa puede usar distintos servicios de correo; lo que importa es si la identidad, la atención al cliente y la oferta cuentan la misma historia. Una dirección que resulta ser un aparcamiento o un buzón de alquiler merece una pregunta.

6. Busca la tienda fuera de su propia web

Todo lo que hay en la web, incluidas las opiniones que enseña, lo publica la propia tienda. Mira fuentes que la tienda no controle y compara.

• Busca el nombre de la tienda junto a las palabras reclamación o estafa.
• Mira si está adherida a Confianza Online, que publica las empresas adheridas y tiene una vía de reclamación propia. Que no esté no demuestra nada, porque la adhesión es voluntaria.
• Lee opiniones en plataformas que la tienda no posea, y desconfía de un muro de cinco estrellas publicadas todas en pocos días.
• Consulta los avisos de consumo de tu comunidad autónoma y de tu ayuntamiento. El Ministerio de Consumo mantiene un directorio de Oficinas Municipales de Información al Consumidor, que informan y recogen reclamaciones. Organizaciones de consumidores como la OCU también publican avisos sobre tiendas que han generado quejas.

También puedes mirar la dirección en el estado del sitio de Navegación Segura de Google. Un aviso conocido es motivo para irse. Que no haya aviso no es un sello de seguridad, porque esa valoración solo refleja lo que el servicio sabe en ese momento.

7. Mira la forma de pago

La forma de pago decide lo que puedes hacer si algo sale mal, y por eso entra en la decisión y no al final de ella. Con tarjeta tienes un procedimiento para reclamar el cargo a tu banco. Una transferencia, un Bizum a una persona, una tarjeta regalo o una criptomoneda se tratan como dinero en efectivo: cuando salen, normalmente no vuelven. El INCIBE recoge lo mismo en su página sobre compras seguras online.

Antes de confirmar, compara el nombre del destinatario con la empresa que has buscado. Desde el 9 de octubre de 2025, los bancos de la Unión Europea tienen que ofrecer gratis el servicio de verificación del beneficiario, que comprueba si el nombre que escribes coincide con el titular de la cuenta de destino. El Banco de España lo explica en su Portal del Cliente Bancario, y añade la parte que conviene tener clara: si el nombre no coincide y aun así decides seguir, el dinero se envía al IBAN que has puesto, y el banco no responde de eso. Ese aviso es información para que pares, no un seguro.

Si el pago se sale de la web hacia una cuenta personal, un teléfono o un enlace enviado por mensaje, párate y confirma el cobro por el canal oficial que hayas encontrado tú.

El candado no demuestra nada

El https protege la conexión entre tu navegador y la web, pero no prueba que la tienda sea honrada. La propia ayuda de Chrome sobre cómo saber si la conexión de un sitio es segura te dice además que compruebes el nombre del sitio en la barra de direcciones antes de escribir nada. Trata el https como un requisito técnico, no como un sello comercial.

En Chrome el candado ya ni siquiera está: desde la versión 117, de septiembre de 2023, la barra de direcciones enseña un icono de ajustes en su lugar. El equipo de Chromium lo anunció en An Update on the Lock Icon, y el motivo era que mucha gente leía el candado como una señal de web de fiar, cuando casi todas las páginas falsas hechas para robar datos también usan https.

Cómo saber si se puede comprar en una web

No existe un sello único que diga que en una web se puede comprar tranquilo. Lo que funciona es sumar las señales de arriba y terminar con dos comprobaciones hechas fuera de las páginas de la propia tienda.

• Quién es la empresa: la razón social y el NIF del aviso legal, contrastados en el Registro Mercantil Central. Que la sociedad exista no confirma que la web sea suya ni que la oferta sea honrada, pero al menos pone un nombre detrás del dinero.
• Qué rastro deja fuera: reclamaciones, avisos de consumo, opiniones en sitios que la tienda no controla y, si está adherida, su ficha en Confianza Online. Una ficha vacía no demuestra nada, porque una tienda abierta hace cuatro días todavía no tiene historia, y una web que imita a una cadena conocida está tomando prestada la reputación de esa cadena.

Estas comprobaciones te enseñan el historial de una empresa. No dictan sentencia sobre ella. Usa el resultado junto con la dirección, los datos fiscales y el nombre que aparece en el pago. Y si al final decides no comprar, no has perdido nada.

Un ejemplo: las zapatillas de oferta

1. La dirección. En la barra del navegador pone tienda-ejemplo-outlet.es, y la tienda que ella conoce vive en tienda-ejemplo.es. La palabra «outlet» pegada al nombre ya es motivo para parar.
2. La empresa. El aviso legal enseña una razón social, pero no aparece en el registro, y la dirección coincide con un servicio de buzones.
3. Fuera de la web. Buscando el nombre junto a la palabra reclamación, encuentra mensajes recientes de gente que pagó y no recibió nada.
4. El destinatario. En la pantalla de confirmación, el dinero iría a nombre de una persona, no de la tienda.

Ninguna de esas cosas, por separado, habría demostrado que era una estafa. Juntas enseñan que esa página no es la tienda que Marina conoce. Cierra el anuncio, escribe la dirección de la tienda de verdad y encuentra las mismas zapatillas al precio normal.

Si ya has pagado

Llama a tu banco en cuanto te des cuenta del problema. La culpa es de quien montó la web falsa, no tuya.

1. En la primera hora, llama a tu banco. Usa el número del reverso de tu tarjeta o el de la aplicación. Si pagaste con tarjeta, di que fue un fraude y pregunta por el procedimiento para reclamar el cargo. Si fue una transferencia o un Bizum, dilo enseguida, porque ahí lo único que está en tu mano es la rapidez.
2. Guárdalo todo. La dirección de la web, el justificante, los mensajes y la ficha del producto, con capturas hechas antes de que la página desaparezca.
3. Denuncia. En cualquier comisaría o cuartel, por la denuncia online de la Policía Nacional o por la denuncia electrónica de la Guardia Civil, que admite los cargos fraudulentos por medios electrónicos. Reporta además la tienda falsa al INCIBE, para que esa dirección se bloquee antes para otras personas.
4. Si el banco no resuelve, reclama por escrito a su Servicio de Atención al Cliente y, si no estás de acuerdo con la respuesta, acude al Banco de España. Los pasos y los plazos están en cómo realizar una reclamación.
5. Vigila la cuenta. Los datos de tarjeta metidos en una pasarela falsa se suelen probar con un cargo pequeño antes de uno grande.

Fuentes que hemos consultado

Las consultas y las reglas citadas arriba se comprobaron el 22 de septiembre de 2026 en estas páginas:

• INCIBE: compras seguras online
• INCIBE: phishing
• INCIBE: reporte de fraude y línea de ayuda 017
• Banco de España: verificación del beneficiario y cómo realizar una reclamación
• Registro Mercantil Central
• Dominios.es, el registro de los dominios «.es» de Red.es, e ICANN Lookup para el resto
• Google: estado del sitio de Navegación Segura
• Ayuda de Chrome: comprobar si la conexión de un sitio es segura y blog de Chromium sobre el candado
• Confianza Online y la OCU
• Ministerio de Consumo: directorio de Oficinas Municipales de Información al Consumidor
• Policía Nacional: denuncia por internet y Guardia Civil: denuncia electrónica

Las tiendas y las direcciones de los ejemplos están inventadas. Los patrones que enseñan son reales, pero no se acusa a ninguna tienda de verdad. Este artículo no da ninguna cifra.

Preguntas frecuentes sobre webs falsas