Un cliente te escribe por WhatsApp: "Ya pagué en su página, ¿cuándo me llega el pedido?". Tú no tienes registro de esa venta. Te manda el enlace y ves tu logo, tus fotos y tus precios, pero en un dominio que no es el tuyo y con una cuenta bancaria que no conoces. Alguien clonó tu sitio.
Le puede pasar a una tienda de refacciones en Monterrey, a una agencia de viajes en Mérida o a un despacho que cobra anticipos en línea. El clonador no necesita entrar a tu hosting: copia lo que cualquiera ve en el navegador y lo sube a otro lado. Aquí tienes los pasos en orden.
Confirma que de verdad es una copia
Antes de alarmarte, descarta lo obvio. A veces la "copia" es tuya:
- Una versión de prueba que dejó tu diseñador en otro dominio o subdominio.
- El sitio viejo que sigue publicado en el hosting anterior después de una migración.
- Un distribuidor autorizado que usa tus fotos con permiso.
Si ninguna aplica, fíjate en las señales típicas de un clon malicioso: el dominio se parece al tuyo pero con una letra cambiada o una terminación distinta, los datos de pago o el WhatsApp de contacto no son tuyos, y los precios están rebajados para que la gente se apure a pagar.
Junta pruebas antes de reportar
Los sitios falsos desaparecen y reaparecen rápido. Si lo reportas sin pruebas y lo bajan, te quedas sin nada que mostrar si luego necesitas presentar una denuncia. Guarda esto:
- La dirección completa del sitio falso, copiada tal cual.
- Capturas de pantalla de la página de inicio, la de pago y la de contacto, con la barra de direcciones visible y la fecha.
- Los mensajes de los clientes que cayeron, con sus comprobantes de pago si te los comparten.
- Cualquier cuenta bancaria, CLABE, teléfono o correo que aparezca en el sitio falso.
Guarda todo en una carpeta con fecha. Si tienes un abogado o contador de confianza, mándale copia.
Averigua quién hospeda y quién registró el dominio falso
Todo sitio vive en un servidor de alguna empresa y usa un dominio registrado con alguna otra. A las dos les puedes pedir que lo bajen.
Busca el dominio falso en una herramienta de consulta WHOIS o RDAP (escribe "consulta WHOIS" en Google y usa la que te dé el registro oficial, como la de ICANN). No vas a ver el nombre del estafador, porque casi siempre lo ocultan, pero sí el registrador y, muchas veces, un correo de abuse para reportes. Si el sitio usa un servicio intermedio como Cloudflare, ese servicio también tiene su formulario de abuso y reenvía la queja al hosting real.
Si no sabes leer el resultado, pásale el dominio a tu proveedor de hosting o a quien maneja tu sitio. Para ellos es una consulta de dos minutos.
Reporta en los lugares que sí actúan
Haz varios reportes el mismo día. Ninguno depende de los demás.
Al hosting y al registrador
Escribe al correo de abuse con un mensaje corto: qué dominio es, que copia tu sitio sin permiso y que lo usan para cobrar a tus clientes. Adjunta capturas y la dirección de tu sitio original. Pide que suspendan el sitio y el dominio. Que sea un texto claro y sin insultos; lo lee una persona que recibe cientos de reportes.
A Google
Google tiene un formulario para reportar sitios de phishing (búscalo como "Google Safe Browsing report phishing"). Si lo aceptan, Chrome y otros navegadores empiezan a mostrar una pantalla roja de advertencia a quien intente entrar. Es lo mismo que le pasa a un sitio infectado, como explicamos en qué hacer cuando Google marca tu sitio como peligroso, solo que aquí lo quieres a tu favor.
Si el clon aparece en resultados de búsqueda, también puedes pedir que lo quiten por infracción de derechos de autor desde la herramienta de retiro de contenido de Google. Ahí te piden demostrar que el contenido original es tuyo, y para eso sirven tus capturas.
Al banco y a las autoridades
Si en el sitio falso hay una cuenta bancaria, avisa a tu banco y pide a los clientes afectados que reporten el cargo con el suyo. Para la denuncia, acude a la policía cibernética de tu estado o a la Fiscalía. Con las pruebas que juntaste el trámite avanza más rápido.
Avisa a tus clientes sin espantarlos
Publica un aviso en tus redes y en tu propio sitio. Que sea breve: cuál es tu única dirección oficial, por qué medios cobras y que nunca pides depósitos a cuentas personales. Si tienes lista de clientes, mándales el mismo mensaje por correo o WhatsApp.
No pongas el enlace del sitio falso en el aviso. Escribe el dominio sin enlace, o mejor solo di "un sitio que imita el nuestro". No le mandes tráfico al estafador.
Revisa si también falsifican tu correo
Muchas veces el clon viene con correos que parecen salir de tu empresa: "Confirma tu pedido", "Actualiza tus datos de pago". Si tu dominio no tiene bien configurados los registros SPF, DKIM y DMARC, cualquiera puede mandar mensajes que se ven como tuyos. En la nota sobre SPF, DKIM y DMARC te explicamos qué son y qué pedirle a tu proveedor para que los servidores de correo rechacen esos mensajes falsos.
Cómo hacerle la vida difícil al siguiente
No puedes impedir que alguien copie lo que publicas. Sí puedes reducir el daño:
- Registra los dominios parecidos al tuyo. Si eres ferreteriaelpino.com.mx, el estafador va a buscar ferreteriaelpino.mx o ferreteria-elpino.com. Te ayuda la guía de variaciones de dominio para proteger tu marca.
- Pon tus datos de pago en un solo lugar. Que tus clientes sepan que solo pagas por la pasarela de tu sitio o a la cuenta a nombre de tu razón social.
- Crea una alerta con el nombre de tu negocio en Google Alerts. Te avisa cuando aparece tu marca en páginas nuevas.
- Revisa tus estadísticas. Algunos clones cargan las imágenes directo desde tu servidor. Si tu hosting te muestra visitas que llegan desde un dominio raro, ahí tienes una pista temprana.
Lo que no te conviene hacer
No le escribas al estafador por el WhatsApp del sitio falso ni lo amenaces. No ganas nada y le avisas que ya lo detectaste antes de que lo bajen. Tampoco intentes "tumbar" el sitio por tu cuenta ni contrates a alguien que te lo ofrezca: eso te puede meter en problemas legales a ti.
El candado del navegador no distingue entre tu sitio y una copia, porque el clon también puede tener su propio certificado. Lo que sí ayuda es que tus clientes reconozcan tu dominio y vean siempre el nombre de tu empresa en el sitio y en el correo. Si quieres revisar la seguridad de tu dominio y tu sitio con alguien que te conteste en español, en koode.mx puedes ver las opciones de certificados SSL para tu sitio y preguntar qué le hace falta al tuyo.