Qué hacer si clonan tu tienda online para estafar | Caso real

Imagina que un cliente busca tu marca, entra en una tienda que parece la tuya, añade un producto al carrito y paga.

El problema es que esa tienda no es tuya.

Han copiado tu identidad visual, tus productos y parte de tus contenidos para crear una web falsa capaz de aceptar pagos.

Además del perjuicio económico para los compradores, la estafa puede acabar afectando a la confianza y reputación de tu marca.

Esto es precisamente lo que le ocurrió a un eCommerce con el que trabajamos. Detectaron una web que suplantaba su tienda y permitía realizar compras.

Tras analizar el caso, aplicamos un protocolo de denuncia en diferentes frentes. La web fraudulenta terminó cerrándose aproximadamente un día después.

En este artículo te explicamos la operativa completa que seguimos y qué puedes hacer si descubres una copia fraudulenta de tu eCommerce.

Importante: este contenido explica una experiencia práctica y no sustituye el asesoramiento jurídico. Si existen víctimas, pagos fraudulentos o un perjuicio relevante, consulta con un profesional y presenta una denuncia ante las autoridades.

¿Es lo mismo que te copien un contenido que clonen tu tienda online?

No.

Si otra web copia un artículo, una imagen o una descripción de producto, normalmente hablamos de plagio o de una posible infracción de propiedad intelectual.

Cuando una web reproduce tu marca y tu tienda con la intención de confundir al usuario y aceptar pagos, el problema puede incluir:

• Suplantación de marca.
• Phishing.
• Fraude online.
• Uso no autorizado de contenidos e imágenes.
• Posible infracción de una marca registrada.
• Riesgo económico para los consumidores.

Por eso no conviene limitarse a solicitar a Google que retire las URLs de sus resultados.

Hay que actuar sobre todos los puntos que mantienen la web operativa: buscador, anuncios, dominio, registrador, hosting, CDN y pasarela de pago.

¿Qué debes hacer si detectas una web falsa que suplanta tu eCommerce?

El orden puede variar según el caso, pero nuestra recomendación es ejecutar estas acciones en paralelo.

Cuantos más intermediarios reciban una denuncia bien documentada, más posibilidades habrá de bloquear la web con rapidez.

1. Recopila todas las pruebas antes de denunciar

Antes de contactar con ninguna plataforma, guarda evidencias.

Una web fraudulenta puede cambiar de contenido o desaparecer temporalmente en cuanto detecte las primeras denuncias.

Recopila como mínimo:

• Capturas completas de la web falsa.
• Capturas de la web oficial para facilitar la comparación.
• URL del dominio y de las páginas internas relevantes.
• Capturas del carrito y del proceso de compra, sin completar ningún pago.
• Métodos de pago que aparecen en la web falsa.
• Resultados de Google donde aparece el dominio fraudulento.
• Anuncios detectados, si los hubiera.
• Fecha y hora de cada captura.
• Correos, mensajes o reclamaciones recibidos de clientes.
• Datos públicos del dominio obtenidos mediante WHOIS o RDAP.

No basta con afirmar que la web es una copia.

Facilita al revisor una comparación rápida entre la tienda oficial y la fraudulenta.

2. Reporta la web en Google Safe Browsing

Si la página intenta engañar a usuarios haciéndose pasar por tu empresa, puedes denunciarla mediante el formulario de Google Safe Browsing.

Incluye:

• La URL exacta de la página fraudulenta.
• Una explicación clara de la suplantación.
• El dominio oficial de la marca.
• Una descripción del riesgo para los usuarios.

Por ejemplo:

Esta web suplanta la identidad de nuestra tienda oficial, utiliza nuestros productos y elementos de marca sin autorización y permite realizar compras. Puede inducir a los usuarios a creer que están comprando en el eCommerce oficial.

Safe Browsing puede ayudar a que Google y los navegadores compatibles identifiquen la página como peligrosa.

Sin embargo, reportarla no garantiza por sí solo que el dominio deje de estar operativo.

3. Solicita la retirada de las URLs de Google Search

Si la web falsa aparece indexada, presenta una solicitud mediante el Centro de Ayuda Legal de Google.

Es importante entender el alcance de esta acción.

Google puede limitar o retirar el acceso al contenido desde sus productos, pero no elimina el contenido alojado en el servidor de un tercero.

Por tanto, una desindexación reduce la visibilidad de la estafa, pero no cierra la web.

Indica las URLs concretas que quieres denunciar, no solo la página de inicio, y escoge el motivo que mejor corresponda al caso: infracción de derechos, suplantación, contenido ilegal u otra categoría aplicable.

4. Comprueba si la web falsa está utilizando Google Ads

Una tienda fraudulenta puede utilizar anuncios para aparecer por encima del dominio oficial cuando alguien busca la marca.

Puedes comprobar qué anuncios se están mostrando y qué anunciante figura detrás mediante el Centro de Transparencia Publicitaria de Google.

Si localizas un anuncio vinculado a la web falsa:

• Guarda una captura.
• Copia la URL visible y la URL de destino.
• Anota la fecha, el país y la búsqueda que activó el anuncio.
• Utiliza el formulario para denunciar un anuncio o una ficha.

En nuestro caso no encontramos campañas activas asociadas al dominio fraudulento, pero hicimos la comprobación antes de descartar esta vía.

5. Identifica el registrador del dominio mediante ICANN Lookup

Uno de los pasos más importantes es averiguar qué empresa registró el dominio falso.

Introduce el dominio en ICANN Lookup.

Esta herramienta permite consultar los datos públicos actuales de registro y normalmente muestra:

• Registrador del dominio.
• Fecha de creación.
• Servidores de nombres o nameservers.
• Estado del dominio.
• Canal o contacto para denuncias de abuso.

Parte de los datos del titular puede estar oculta por motivos de privacidad.

No obstante, el nombre del registrador y sus vías de contacto suelen ser suficientes para presentar una denuncia.

En el caso analizado, la consulta permitió identificar el registrador, su dirección de abuso, la fecha de creación del dominio y los nameservers utilizados.

6. Envía una denuncia de abuso al registrador

Busca en la web oficial del registrador su correo o formulario de abuse.

Conviene redactar la denuncia en inglés, ser muy concreto y adjuntar todas las pruebas.

Plantilla para denunciar una web falsa

Subject: Abuse report – Brand impersonation / phishing website – [fraudulent-domain.com]

Hello,

We are reporting the domain [fraudulent-domain.com], which appears to be impersonating the official brand [BRAND NAME].

Official website: [https://official-website.com/]
Fraudulent website: [https://fraudulent-domain.com/]

The fraudulent website uses our brand elements, products, content and/or visual identity without authorization. It may mislead users into believing that they are browsing or purchasing from the official website.

The website also appears to accept payments. This may represent brand impersonation, phishing and online fraud.

Domain information:

• Domain: [fraudulent-domain.com]
• Registrar: [REGISTRAR]
• Abuse contact: [ABUSE EMAIL OR FORM]
• Nameservers: [NAMESERVERS]
• Creation date: [DATE]

We kindly request that you investigate this domain and take the appropriate action as soon as possible.

Evidence attached:

• Screenshots of the fraudulent website.
• Screenshots of the official website.
• Screenshots of the checkout or payment process.
• Screenshots of Google results or advertisements.
• Evidence of ownership of the brand or original content.

Thank you.

Regards,

[NAME / COMPANY / CONTACT DETAILS]

Evita mensajes vagos como “esta web es una estafa”.

Explica qué se ha copiado, cómo se confunde al usuario, si permite pagar y por qué la marca denunciante es la legítima.

7. Identifica y denuncia el hosting o la CDN

El registrador gestiona el dominio, pero la web puede estar alojada en otra empresa y utilizar una CDN o un proxy como Cloudflare.

Revisa los nameservers, las cabeceras y los datos técnicos disponibles.

Si detectas Cloudflare, puedes utilizar su formulario de denuncia de phishing.

Cloudflare no siempre es el proveedor de alojamiento. En muchos casos protege u oculta el servidor de origen.

Aun así, una denuncia puede permitir que investigue el uso de sus servicios y traslade el aviso al proveedor correspondiente.

Cuando presentes la denuncia:

• Incluye las URLs exactas.
• Identifica la web oficial.
• Explica que la copia acepta pagos o recopila datos.
• Adjunta las capturas.
• Indica si ya has denunciado el dominio ante el registrador y Google.

8. Presenta una denuncia policial

Aunque el dominio o el supuesto responsable estén fuera de España, es recomendable dejar constancia legal de lo sucedido, especialmente cuando la web permite realizar pagos o ya existen personas afectadas.

La denuncia puede servir para:

• Documentar oficialmente el incidente.
• Facilitar actuaciones posteriores.
• Acreditar el fraude ante registradores, proveedores o pasarelas de pago.
• Proteger a la empresa ante reclamaciones de consumidores engañados.
• Aportar información si aparecen nuevas copias o víctimas.

Lleva todas las pruebas recopiladas, los datos del dominio, las comunicaciones enviadas y cualquier testimonio o justificante de pago de clientes afectados.

9. Localiza y avisa a la pasarela de pago

Si puedes identificar de forma segura el proveedor de pagos utilizado por la web fraudulenta, busca su canal oficial de denuncias y comunica el caso.

No realices una compra para investigar.

Puedes revisar:

• El pie de página.
• Las condiciones de compra.
• Las URLs que aparecen durante el checkout.
• Los elementos públicos del formulario de pago.
• Los logotipos o referencias visibles a proveedores de pago.

Bloquear la capacidad de cobrar puede reducir el daño incluso aunque el dominio tarde más tiempo en cerrarse.

El caso real: la web fraudulenta se cerró aproximadamente en un día

En el caso que gestionamos, la tienda falsa había copiado elementos de un eCommerce real y permitía efectuar compras.

La operativa fue la siguiente:

1. Documentamos la web falsa y la comparamos con la oficial.
2. Reportamos las URLs en Google Safe Browsing.
3. Denunciamos su presencia en Google Search.
4. Comprobamos si utilizaba Google Ads, pero no encontramos anuncios activos.
5. Consultamos los datos del dominio mediante ICANN Lookup.
6. Identificamos al registrador y enviamos una denuncia a su canal de abuso.
7. Reportamos la web a Cloudflare.
8. Recomendamos mantener la denuncia policial para dejar constancia legal.

No podemos atribuir el cierre a una única denuncia porque varias acciones se ejecutaron prácticamente en paralelo.

Lo relevante es que el dominio dejó de estar operativo aproximadamente un día después.

La conclusión práctica es clara: no dependas de un solo formulario.

Actúa simultáneamente sobre la visibilidad, el dominio y la infraestructura.

Checklist para actuar ante una web falsa

• Guardar capturas de la web oficial y de la falsa.
• Registrar las URLs, fechas y proceso de compra.
• Reportar el phishing en Google Safe Browsing.
• Solicitar la retirada de URLs en Google Search.
• Revisar posibles anuncios en Google Ads.
• Consultar el dominio en ICANN Lookup.
• Denunciar la web ante el registrador.
• Denunciarla ante el hosting o la CDN.
• Avisar a la pasarela de pago si puede identificarse.
• Presentar una denuncia policial.
• Avisar a los clientes si existe un riesgo real de confusión.
• Monitorizar nuevas apariciones del dominio o copias similares.

Cómo prevenir y detectar futuras suplantaciones

No existe una medida capaz de impedir por completo que alguien copie una web pública.

Sí puedes reducir considerablemente el tiempo de respuesta:

• Configura alertas para el nombre de tu marca.
• Revisa periódicamente los anuncios que aparecen al buscarla.
• Registra las principales variantes de dominio cuando tenga sentido.
• Protege legalmente la marca y conserva sus documentos.
• Guarda pruebas de autoría de fotografías, diseños y contenidos.
• Centraliza un protocolo interno con responsables y plantillas.
• Forma a atención al cliente para detectar avisos sospechosos.
• Comunica siempre cuáles son tus dominios y perfiles oficiales.

Conclusión

Si clonan tu eCommerce para estafar, el objetivo no es únicamente evitar un posible problema de contenido duplicado.

Hay que proteger a los usuarios, reducir la visibilidad de la copia y conseguir que los proveedores que sostienen la web investiguen el caso.

La respuesta más efectiva combina cuatro líneas de actuación:

1. Conservar pruebas.
2. Denunciar en Google y en las plataformas publicitarias.
3. Contactar con el registrador, el hosting, la CDN y la pasarela de pago.
4. Dejar constancia mediante la vía legal.

En nuestro caso, ejecutar estas acciones en paralelo permitió que la web fraudulenta se cerrara aproximadamente en un día.

Tener un protocolo preparado marca la diferencia cuando cada hora expone a nuevos clientes a una posible estafa.

Preguntas frecuentes

¿Google puede cerrar una web falsa?

Google puede mostrar advertencias, limitar anuncios o retirar URLs de sus resultados según el producto y la infracción. No controla el servidor de una web externa, por lo que también debes denunciarla ante el registrador y el proveedor de infraestructura.

¿Qué diferencia hay entre el registrador y el hosting?

El registrador es la empresa mediante la que se registró el dominio. El hosting aloja los archivos y servicios de la web. Pueden ser empresas distintas y conviene denunciar el caso ante ambas.

¿Qué ocurre si los datos del titular están ocultos?

Aunque los datos personales estén protegidos, ICANN Lookup suele permitir identificar al registrador. Este debe disponer de un canal para recibir denuncias de abuso.

¿Debo contactar directamente con el responsable de la web falsa?

En un plagio convencional puede ser un primer paso razonable. Si existe phishing, suplantación o cobro fraudulento, evita revelar innecesariamente tu estrategia y prioriza las denuncias ante plataformas, proveedores y autoridades.

¿Una denuncia en Google elimina la página de Internet?

No necesariamente. Puede reducir o eliminar su presencia en productos de Google, pero la retirada efectiva del sitio depende del proveedor que controla el dominio o la infraestructura.