¿Es falso este dominio? Cómo comprobarlo.

Comprobar si un dominio es falso no consiste solo en mirar si aparece el candado de HTTPS. Muchísimas webs fraudulentas tienen certificados de seguridad perfectamente válidos y un diseño tan cuidado como el de la marca que imitan: HTTPS solo cifra la conexión, no dice nada sobre quién está al otro lado. Lo que de verdad importa es revisar varias señales a la vez: el nombre exacto del dominio, el contexto en el que ha llegado el enlace, su antigüedad, si redirige por el camino y, sobre todo, qué te está pidiendo la página.

1. Mira el dominio real, no el texto del enlace

Un enlace puede mostrar un texto perfectamente legítimo –"Banco Santander", "Correos", "Agencia Tributaria"– y llevar a un dominio completamente distinto. En el móvil es todavía más fácil confundirse, porque la barra de direcciones suele estar recortada y solo se ve el principio o el final de la URL. Antes de abrir cualquier enlace dudoso, mantenlo pulsado (o cópialo) para ver la dirección completa, sin recortar, y léela entera.

Y ten en cuenta algo importante: que una web contenga la palabra "correos", "aeat" o "banco" en algún punto de su dirección no significa que sea oficial. Cualquiera puede registrar un dominio que incluya esas palabras.

2. Desconfía de dominios muy largos o con muchos guiones

Los dominios oficiales suelen ser cortos y reconocibles. Los fraudulentos, en cambio, tienden a ser largos, forzados y llenos de guiones para intentar parecer legítimos a simple vista. Fíjate en ejemplos como estos, claramente ficticios pero representativos del patrón:

• pago-seguro-cliente-banco.com
• agencia-tributaria-reembolso-online.net

Cuanto más largo y más artificial parezca el dominio, más motivos hay para pararse a revisarlo antes de seguir.

3. Revisa si usa una marca conocida sin ser su dominio real

Si un dominio menciona el nombre de una marca conocida pero no coincide con su dominio oficial, esa es una señal de alarma por sí sola. La forma correcta de comprobarlo nunca es buscar el dominio "oficial" a partir del enlace que has recibido, porque ese enlace puede llevarte a otra web falsa que refuerce el engaño. Escribe tú mismo la dirección de memoria, o búscala a través de una fuente fiable que ya conozcas de antes.

4. Comprueba la antigüedad y datos públicos

ICANN Lookup permite consultar los datos públicos de registro de cualquier dominio: quién es el registrador, la fecha exacta de creación y los servidores de nombres (nameservers) que usa. Un dominio registrado hace pocos días o semanas no es automáticamente fraudulento –hay negocios legítimos que empiezan así–, pero si además ese dominio imita a una marca conocida y te está pidiendo datos sensibles, la combinación de "recién creado" más "suplanta a otro" es una señal de riesgo muy importante.

5. Comprueba si aparece marcado como peligroso

El informe de transparencia de Google Safe Browsing permite consultar el estado de seguridad de cualquier web. Si el dominio aparece marcado como no seguro, no interactúes con él bajo ningún concepto. Ahora bien: que no aparezca marcado tampoco es garantía de que sea seguro, porque los dominios fraudulentos suelen ser muy recientes y todavía no han sido detectados ni catalogados.

6. Fíjate en qué pide la página

Con independencia de cómo se vea el dominio, lo que la página te pide es una de las señales más fiables de todas. Sospecha especialmente si te solicita:

• El número completo de tu tarjeta bancaria y el CVV
• Un código recibido por SMS
• Tu DNI o documento de identidad
• Usuario y contraseña de tu banco, correo o cualquier otro servicio
• La frase semilla (seed phrase) de un monedero de criptomonedas
• La descarga e instalación de un archivo o una aplicación
• Un pago urgente para "liberar" un paquete, un reembolso o evitar una supuesta sanción

7. Comprueba redirecciones y acortadores

Los enlaces acortados (bit.ly, tinyurl y similares) ocultan el destino real hasta que se hace clic, lo que los convierte en una herramienta habitual para disfrazar dominios fraudulentos. Extrema la precaución si recibes un enlace acortado por SMS, correo electrónico o redes sociales, sobre todo si viene acompañado de urgencia o de una oferta que parece demasiado buena.

Variantes de dominio falso que vas a encontrar

No todos los dominios fraudulentos siguen el patrón del nombre largo con guiones. El typosquatting apuesta por tus dedos: registra el dominio con una letra bailada o duplicada, confiando en que lo teclees mal o no lo mires dos veces. Los caracteres visualmente idénticos van un paso más allá: una letra de otro alfabeto que se dibuja igual en pantalla puede hacer que dos dominios distintos parezcan exactamente el mismo. El subdominio engañoso coloca el nombre de la marca delante de un dominio ajeno: la marca aparece al principio de la dirección, pero el dominio real es lo que va justo antes de la primera barra. Y el cambio de terminación registra el mismo nombre con otra extensión: la marca es real, la terminación no es la suya.

Dos canales merecen mención aparte. Los anuncios en buscadores: un dominio falso puede aparecer encima del resultado legítimo si el estafador paga por ello, así que "lo encontré buscando en Google" no es una verificación. Y los códigos QR en correos, cartas falsas o pegatinas encima de carteles reales: un QR es un enlace que ni siquiera puedes leer antes de abrirlo, lo que lo convierte en el acortador perfecto. Con ambos, la regla es la misma que con cualquier enlace recibido: el dominio se comprueba después de abrirlo y antes de escribir nada.

Un caso paso a paso: el paquete de Jorge

Jorge, 41 años, espera un pedido. Le llega un SMS: "Su paquete está retenido por 1,99 € de aduanas" con un enlace acortado. Está en el autobús, con prisa, y la cantidad es tan pequeña que casi ni lo piensa. Pulsa el enlace y aterriza en una página con el logo de Correos, colores idénticos y un formulario de tarjeta. Algo le hace mirar la barra de direcciones: el dominio es una cadena larga con "correos" en medio, guiones a los lados y una terminación que no ha visto nunca.

En vez de pagar, hace la comprobación de dos minutos: abre una pestaña nueva, escribe él mismo la web oficial de Correos y busca su envío con el número de seguimiento real. Su paquete está en reparto, sin ninguna incidencia ni pago pendiente. El SMS era pesca al azar – miles de mensajes idénticos enviados a números al azar, esperando a los que justo esperan un paquete. La lección que se lleva: el importe pequeño es el anzuelo, no la prueba de que sea inofensivo. Nadie regala su tarjeta por 1.000 euros, pero el CVV que entregas por 1,99 vale exactamente lo mismo para el estafador.

Hábitos que evitan la comprobación de urgencia

La mejor revisión de dominios es la que no llegas a necesitar. Crea marcadores en el navegador para tus webs sensibles: banco, correo, administración pública, y entra siempre desde ahí, nunca desde enlaces recibidos. Usa un gestor de contraseñas: además de recordar las claves, se niega a autocompletar en un dominio que no coincide con el guardado, lo que lo convierte en un detector de webs falsas silencioso y automático. Y en el móvil, donde la barra de direcciones recortada juega en tu contra, acostúmbrate a girar el teléfono o tocar la barra para ver la URL completa antes de escribir nada.

Comparte también la regla con quien más la necesita: la persona de tu familia que paga recibos desde el móvil o espera paquetes a menudo. Basta con una frase: ningún organismo ni empresa te pide pagar o identificarte desde un enlace de SMS: si llega algo así, se entra a la web oficial escribiéndola a mano y se comprueba allí. Ante la duda, la Línea 017 de INCIBE resuelve consultas gratuitas sobre webs sospechosas, y si un dominio falso te ha llegado suplantando a una empresa real, reportarlo ayuda a que se bloquee antes de que caiga el siguiente.

Checklist de dominio sospechoso

• El dominio es muy largo o está compuesto por varias palabras encadenadas
• Tiene muchos guiones
• Incluye palabras como "login", "verify", "pago" o "seguridad"
• Menciona una marca conocida pero no es su dominio oficial
• Se creó recientemente, según ICANN Lookup
• Llega a través de un acortador de enlaces
• Redirige varias veces antes de llegar a la página final
• Pide tarjeta bancaria, contraseña o códigos de un solo uso
• No muestra datos legales claros (empresa, dirección, contacto)
• Transmite una sensación de urgencia excesiva

Preguntas frecuentes