Cómo denunciar una web fraudulenta paso a paso.

Denunciar una web fraudulenta no es solo un trámite: protege a quien la reporta y a las próximas personas que reciban el mismo enlace. Estas páginas suelen suplantar bancos, comercios online, organismos públicos o redes sociales, y no todas persiguen lo mismo – algunas roban credenciales, otras datos de tarjeta, y otras distribuyen malware con solo un clic. Una denuncia bien documentada, con la URL exacta y pruebas claras, es mucho más útil para quien la investiga que un simple aviso de "esto es una estafa".

1. Guarda la URL completa

Copia la URL completa directamente desde la barra de direcciones del navegador – nunca la escribas de memoria ni la resumas. Incluye todos los parámetros que aparezcan después de la interrogación, ya que a veces son precisamente esos parámetros los que identifican la campaña o la víctima concreta. Si el enlace llegó por SMS, email o WhatsApp, guarda también el mensaje original completo, no solo el enlace suelto. Y evita acortar la URL al denunciar: un acortador oculta el dominio real y dificulta la verificación de quien recibe el reporte.

2. Haz capturas de pantalla

Antes de que la página caiga –y las páginas fraudulentas suelen caer en cuestión de horas: haz capturas de:

• La página principal completa, con la URL visible en la barra de direcciones
• Cualquier formulario que pida datos personales o bancarios
• Los logos, colores o textos usados para imitar a la marca legítima
• Cualquier petición de datos adicional durante el proceso

Si la web imita claramente a una marca conocida, procura que al menos una captura muestre esa suplantación sin ambigüedad – ayuda mucho a quien revisa el caso.

3. Anota fecha, hora y contexto

Apunta cómo recibiste el enlace: por SMS, por email, en un anuncio de redes sociales, por WhatsApp, en un resultado de buscador o dentro de una tienda online. Este dato, junto con la fecha y hora aproximadas, ayuda a clasificar el tipo de incidente – no es lo mismo un phishing por email que un smishing por SMS, un fraude de ecommerce o una suplantación de marca – y permite a quien recibe la denuncia dirigirla al canal correcto más rápido.

4. Reporta a INCIBE si estás en España

Si resides en España, INCIBE permite reportar phishing, tiendas online fraudulentas o sitios que distribuyen malware a través de su canal de reporte de fraude: incibe.es/ciudadania/ayuda/reporte-de-fraude. Aporta la URL completa, las capturas de pantalla y una descripción clara de lo sucedido. Si ha habido pérdida económica, valora además presentar denuncia ante las autoridades, ya que algunos trámites bancarios de recuperación piden justificante de denuncia.

Si prefieres que te orienten antes de rellenar nada, INCIBE atiende en el 017, un teléfono gratuito y confidencial. Es la vía más rápida cuando no tienes claro si lo que te ha pasado da para denuncia o solo para reporte.

Para la denuncia formal hay dos cuerpos y conviene saber cuál te toca: la Policía Nacional, que admite denuncia por internet aunque los delitos con autor desconocido suelen requerir ratificación en comisaría, y la Guardia Civil, a través de su Grupo de Delitos Telemáticos. Cualquiera de las dos sirve; no hace falta acudir a las dos.

5. Reporta la página a Google y Microsoft

Google permite reportar páginas de phishing o malware para que dejen de mostrarse con normalidad en los resultados de búsqueda y en Chrome. Microsoft tiene un formulario equivalente para marcar sitios como no seguros en Edge. Ninguno de los dos recupera nada por sí mismo, pero ayuda a que navegadores y buscadores empiecen a alertar a otras personas que hagan clic en el mismo enlace.

6. Avisa a la marca suplantada

Busca el canal oficial de seguridad o abuso de la marca suplantada, normalmente algo como una dirección de seguridad o abuso en su dominio real, o un formulario específico en su web. Nunca uses los datos de contacto que aparecen en la propia web fraudulenta: entra manualmente en la web legítima, escribiendo tú mismo la dirección, en lugar de seguir cualquier enlace relacionado con el caso.

7. Si ya has introducido datos

• Tarjeta bancaria: llama a tu banco de inmediato para bloquearla – consulta He metido mi tarjeta en una web falsa para los pasos exactos.
• Contraseña: cámbiala ya y activa la verificación en dos pasos en esa cuenta y en cualquier otra donde la reutilices.
• DNI, teléfono o dirección: no hay una acción inmediata que deshaga la exposición, pero conviene vigilar en las semanas siguientes cualquier intento de suplantación que use esos datos.

Si suplantan a PayPal, a tu banco o a otra plataforma de pago

Es la suplantación más frecuente, y tiene una vía propia que funciona mejor que la genérica: cada plataforma tiene un buzón para recibir correos y webs falsas que la imitan, y sus equipos tramitan retiradas mucho más rápido que nadie, porque el fraude les cuesta dinero directamente.

En el caso de PayPal, el canal es reenviar el correo íntegro, sin reescribirlo ni recortarlo, a su dirección de notificación de phishing, y adjuntar la URL falsa si la tienes. Los bancos españoles suelen tener una dirección equivalente en su apartado de seguridad. Dos cosas importantes:

• Reenvía el mensaje como adjunto siempre que tu cliente de correo lo permita. Un reenvío normal pierde las cabeceras, que es justo la parte que sirve para rastrear al remitente.
• No pulses nada del correo antes de reenviarlo, ni siquiera para «comprobar». Algunos enlaces confirman que tu dirección está activa por el simple hecho de abrirse.

Y ojo con el orden: si has llegado a introducir tus datos, lo primero no es denunciar, es bloquear la tarjeta y revisar movimientos. La denuncia puede esperar veinte minutos; el cargo fraudulento no.

Qué es lo que consigue de verdad que la cierren

Merece la pena decirlo claro, porque es la expectativa que más se frustra: ni INCIBE ni la policía cierran webs. Registran, investigan y actúan por la vía legal, que es lenta por definición. Lo que apaga un sitio en horas o días es otra cosa:

• El registrador del dominio, que puede suspenderlo. Aparece en el WHOIS y es la vía más rápida que existe.
• El proveedor de alojamiento, que puede retirar el contenido.
• Google y Microsoft, que no lo cierran pero sí ponen una pantalla roja de advertencia delante, y eso corta el daño casi del todo.

Si lo que están copiando es tu web o tu marca, tienes además vías que un tercero no tiene, y las explicamos paso a paso en qué hacer si suplantan tu web.

Plantilla breve para denunciar

Si no sabes cómo redactarlo, esta plantilla sirve para la mayoría de canales de reporte:

"Hola, reporto una web presuntamente fraudulenta que suplanta a una entidad legítima y solicita datos personales o bancarios. URL completa: [pegar URL]. Canal por el que recibí el enlace: [SMS/email/red social]. Fecha y hora aproximada: [fecha]. Adjunto capturas y detalles para su revisión."

Otras variantes que vas a encontrar

No todas las webs fraudulentas persiguen lo mismo, y saber de qué tipo es la que tienes delante ayuda a denunciarla en el sitio correcto:

• Phishing de marca. Copia el acceso de un banco, una red social o un organismo público para robar credenciales. Denúnciala a la marca suplantada y a INCIBE.
• Tienda falsa. Un comercio que cobra y no envía, o que roba los datos de la tarjeta al pagar. Además de reportarla, si pagaste, el banco es tu primera llamada.
• Web de descarga con malware. Ofrece un programa, una factura o un "visor" que en realidad instala software malicioso. Aquí importa reportarla a Google y Microsoft para que los navegadores la marquen cuanto antes.
• Falsa inversión o cripto. Promete rentabilidades imposibles y bloquea las retiradas. Suele ir ligada a una campaña más grande; la denuncia con la URL completa ayuda a tumbar la infraestructura entera.

Cómo se vive desde dentro: un caso realista

A Rosa le llega un SMS que parece de su empresa de paquetería: "tu envío está retenido, abona 1,99 € de aduanas aquí". El enlace lleva a una web calcada a la real, con el logo y todo. Introduce los datos de su tarjeta, y minutos después le llega un aviso del banco de un cargo de 240 € que no reconoce.

Lo que convierte su mal rato en una denuncia útil es el orden. Antes de que la web caiga –lo hizo esa misma tarde– copia la URL completa desde la barra de direcciones y hace capturas de la página y del formulario. Llama al banco para bloquear la tarjeta, reporta la URL a INCIBE con las capturas adjuntas, y presenta denuncia ante la Policía Nacional, cuyo justificante le pide después el propio banco para tramitar la devolución del cargo. La denuncia no le devolvió el dinero por sí sola –eso lo hizo el banco–, pero fue la pieza que permitió reclamarlo y que se investigara la campaña.

Errores que restan valor a una denuncia

Una denuncia se debilita por detalles evitables. No escribas la URL de memoria ni la resumas: cópiala entera, con todos los parámetros, porque a veces son precisamente esos parámetros los que identifican la campaña. No acortes el enlace al reportarlo, porque un acortador oculta el dominio real. Y no confrontes ni "pongas a prueba" la web una vez la has documentado: interactuar de más puede alterar lo que ve quien investiga.

Tampoco esperes días para denunciar. Estas páginas viven horas, no semanas – cuanto antes reportes con capturas y URL, más posibilidades hay de que se retire antes de que caiga la siguiente persona. Si el enlace te llegó por SMS, correo o mensajería, guarda el mensaje original completo, no solo el enlace suelto: el contexto de cómo llegó es parte de la prueba y ayuda a rastrear el origen.

Preguntas frecuentes