Cómo saber si una página web es segura y no caer en una tienda falsa

Una tienda falsa, una página que imita a tu banco o una falsa web de la Agencia Tributaria pueden parecerse mucho a las auténticas. Si te preguntas cómo saber si una web es segura, dedica unos minutos a revisarla antes de pagar, introducir una contraseña o dar los datos de tu tarjeta. Frente a las ciberestafas, la apariencia no basta.

Señales de una web fraudulenta

• Precios demasiado buenos. Según INCIBE, los precios muy inferiores a los de otras tiendas son motivo de sospecha.
• Una dirección casi correcta. Registrar una dirección que se diferencia de una conocida en una sola letra se llama typosquatting. Desconfía también si la dirección no coincide con el nombre de la empresa.
• Nadie detrás. Sin «aviso legal», dirección física, teléfono ni correo electrónico, faltan datos para confiar. En España, la LSSI exige a los negocios online mostrar su nombre, dirección, correo electrónico y NIF: una tienda online falsa rara vez lo hace.
• Un pago poco habitual. INCIBE aconseja desconfiar de ofertas que piden dinero por adelantado y evitar transferencias que no dejan rastro, como las de MoneyGram, Western Union o plataformas similares.
• Una web descuidada. INCIBE también avisa de los errores gramaticales o de diseño y de los enlaces rotos o que siempre te devuelven a la página principal.

Según INCIBE, una señal aislada no suele bastar: comprueba varias.

El candado no demuestra que una web sea fiable

El candado y «https» solo indican que tus datos viajan cifrados. INCIBE pide comprobar también que el certificado SSL sea válido y pertenezca realmente a la empresa. Algunas páginas fraudulentas utilizan certificados digitales válidos, por lo que debes revisar más factores.

Comprobar una página web en cinco minutos

¿Cómo saber si una página es segura en la práctica? Empieza por estas cinco comprobaciones.

1. Lee la dirección. Al comprobar la URL, fíjate en lo que hay justo antes de la primera «/» que sigue a «https://»: ahí está el dominio. En «https://www.agenciatributaria.gob.es.example.com/devolucion», la web pertenece a «example.com», no a la Agencia Tributaria.
2. Busca los datos del negocio. Revisa el «aviso legal»: nombre o razón social, dirección, correo electrónico y NIF. Comprueba también las condiciones de venta, las devoluciones y cómo reclamar.
3. Busca opiniones externas. INCIBE recomienda leer reseñas y opiniones de otros clientes. Escribe en el buscador el nombre de la tienda seguido de «opiniones» y no te fíes solo de los comentarios publicados en la propia tienda.
4. Consulta la antigüedad del dominio. ICANN Lookup muestra datos de registro de dominios como .com o .shop. Una tienda con un dominio registrado hace pocos días y precios muy bajos es una señal de alerta: los dominios recientes se usan a menudo para estafas.
5. Mira qué dice Google. Introduce la dirección en el informe de transparencia de Navegación segura para ver si Google la clasifica como peligrosa.

Para inversiones, ahorro o criptoactivos, consulta también la lista de entidades no autorizadas de la CNMV, los llamados «chiringuitos financieros». La lista solo recoge las entidades sobre las que la CNMV ha advertido: que una empresa no aparezca no significa que esté autorizada.

Comprobar un enlace antes de pulsarlo

Desconfía de los SMS, correos electrónicos o mensajes de WhatsApp que te meten prisa: un paquete de Correos sin entregar, una multa de la DGT o una devolución de la Agencia Tributaria. INCIBE ha alertado de campañas de SMS de este tipo. Ante la duda, abre la app oficial o escribe tú la dirección oficial.

En el ordenador, pasa el puntero por encima del enlace sin hacer clic: verás su dirección real en una esquina del navegador. En el móvil, mantenlo pulsado para verla sin abrirlo. Un enlace sospechoso puede ocultar una dirección acortada o un nombre parecido al auténtico. Un enlace seguro lleva al dominio oficial de la empresa o de la Administración, así que fíjate en el dominio y no en lo convincente que parezca el mensaje.

He pulsado un enlace fraudulento: qué hacer

1. Cierra la página. No introduzcas más datos.
2. Si has escrito una contraseña, cámbiala enseguida. Hazlo en la web auténtica y en todas las cuentas donde uses la misma.
3. Si has dado los datos de tu tarjeta o has pagado, llama a tu banco. Pide que la bloqueen, revisa los movimientos y solicita cancelar los cargos sospechosos. Si ves un cargo que no reconoces, el Banco de España recomienda avisar cuanto antes, aunque legalmente tengas 13 meses para reclamar. Muchas apps bancarias permiten bloquear temporalmente la tarjeta.
4. Guarda pruebas. Conserva capturas de la página, del mensaje y del pago.
5. Presenta una denuncia. Hazlo ante la Policía Nacional o la Guardia Civil. Si la inicias por internet con la Policía Nacional, fírmala cuanto antes en la comisaría que hayas elegido, como muy tarde en 72 horas.

Dónde denunciar una web fraudulenta

Aquí puedes pedir ayuda, avisar de una web fraudulenta o presentar una denuncia:

• INCIBE 017. Su línea de ayuda en ciberseguridad es gratuita y confidencial y atiende todos los días, de 8:00 a 23:00. También puedes escribir por WhatsApp al 900 116 117 o por Telegram a @INCIBE017.
• INCIBE, reporte de fraude. Envía a INCIBE-CERT una descripción de la tienda o del mensaje de phishing, con una captura o la URL, por correo electrónico o con su formulario de contacto.
• Policía Nacional. La denuncia por internet debe firmarse en la comisaría que hayas elegido, como muy tarde en 72 horas; sin firma no tiene validez legal.
• Guardia Civil. Su denuncia electrónica sirve para estafas y cargos fraudulentos cometidos a través de medios informáticos: está disponible las 24 horas, requiere firma electrónica y no hay que ratificarla después en persona.
• Tu banco. Avisa cuanto antes si detectas un cargo con tarjeta que no reconoces, como recomienda el Banco de España.

También puedes avisar a Seawall de esa página: si tienes razón, Seawall actualiza el filtro para todos sus usuarios.

Bloquear las webs fraudulentas en todos tus dispositivos

Seawall bloquea las webs fraudulentas y de phishing conocidas en cada dispositivo donde lo configures: las páginas falsas de bancos, tiendas e inicio de sesión ya detectadas no se abren ni en el navegador ni en las apps. También bloquea dominios que imitan a otros cambiando una letra y, como opción, dominios registrados hace menos de 30 días, usados a menudo para estafas.

Ningún filtro sustituye tus comprobaciones: aparecen nuevas páginas fraudulentas cada día. Mantén estos hábitos, especialmente antes de pagar.