Copias tan buenas que el diseño ya no las delata
La Procuraduría General de la Nación contabilizó 2.509 denuncias por distintos métodos de engaño para robar dinero e información personal entre el 1 de enero y el 12 de mayo de 2026. Uno de esos métodos ya no se distingue por el diseño. El diario El Correo Gallego informó el 8 de agosto de 2026 de la última modalidad detectada por los Mossos d’Esquadra y la Agència de Ciberseguretat de Catalunya, la clonación con inteligencia artificial de páginas oficiales de venta de entradas. Los delincuentes copian hasta el último detalle. Según el balance anual del Instituto Nacional de Ciberseguridad (INCIBE), en 2025 se gestionaron 122.223 incidentes, un 26% más que en 2024, y el fraude en línea supuso 4 de cada 10 incidentes. Contra una copia así, el diseño no sirve de prueba, y el tramo que sí distingue una dirección de otra está al final.
Un consejo oficial que nadie termina de explicar
Junto a ese recuento, la Procuraduría pidió a la población verificar siempre la autenticidad de las páginas web y de los números telefónicos, además de evitar los enlaces sospechosos que llegan por SMS o WhatsApp. Entre las modalidades que describe están los mensajes que simulan venir de bancos, empresas o instituciones oficiales. El consejo es correcto, pero rara vez viene acompañado de la parte práctica: qué se mira y en qué orden.
El nombre real acaba en la primera barra simple
El primer paso es localizar el nombre real dentro de la dirección. Normalmente está al final del tramo que va de las dos barras de «https://» a la primera barra simple. Lo forman la palabra registrada y la terminación que la cierra. Lo que aparece delante, el «www» incluido, lo decide quien monta la página, igual que lo que sigue a la barra. El segundo paso es comparar ese nombre con la dirección oficial, letra por letra. Así trabajó el INCIBE en su aviso de febrero de 2026 sobre notificaciones falsas que suplantan a la Agencia Tributaria, donde señaló que el remitente no tiene relación con el dominio oficial, agenciatributaria.gob.es.
El tercer paso, cuando la terminación es un código de país de dos letras, es leerlas: una pista, no una garantía. Quien monta la web no las elige a su antojo, porque corresponden al registro que reparte los nombres bajo esa terminación. El del dominio .pa lo administra NIC-Panamá, dentro de la Universidad Tecnológica de Panamá, por delegación de la IANA y la ICANN. Bajo el código de España conviven usos que no se parecen en nada, desde administraciones y medios de comunicación hasta comercios. Sobre partidos y competiciones deportivas también se apuesta en sitios con esa misma terminación, como Bet777.es. Esas dos letras, por sí solas, no distinguen un uso de otro.
Dos letras no acreditan la nacionalidad de nadie
Según Red.es, la entidad pública que gestiona ese registro, a 6 de agosto de 2026 había 2.226.598 dominios .es. Al cierre de 2025 eran 2.147.193, tras un crecimiento aproximado del 2,5% interanual, de acuerdo con el balance anual que publica el registro de los dominios .es. Ese mismo documento añade que Estados Unidos, Alemania, Francia y Reino Unido figuran entre los países con mayor número de dominios .es activos. La terminación identifica al registro que entregó el nombre, no a quien lo usa.
La entidad no se limita a repartir nombres. En su balance de 2025, el INCIBE informó de haber trabajado con Red.es para cerrar 4.600 dominios web .es potencialmente fraudulentos, el 100% de ellos reportados por el propio instituto. “Los Dominios.es son en la actualidad una infraestructura digital robusta, segura y madura”, declaró Jesús Herrero, director general de Red.es.
Después de la dirección hay una segunda lectura
Una dirección correcta ayuda a descartar la copia, pero no demuestra que la página sea segura. La respuesta está en qué datos pide y qué controles deja en manos de quien entra. En los servicios de ocio en línea que operan con licencia en España, apuestas deportivas incluidas, esos controles están para usarlos antes de empezar. Se fijan límites de depósito, se marca un tiempo máximo de sesión y se puede pedir la autoexclusión.
Lo que cambia cuando el enlace llega al teléfono
Conviene desconfiar del formato en el que llega casi todo, un mensaje que mete prisa y una barra de direcciones que recorta el texto justo por donde hay que mirar. Este diario informó del cambio de tarjetas del PASE-U para el cobro de los estudiantes, y un aviso de ese tipo es fácil de imitar en un reenvío. El método tiene además un límite. Solo ayuda a confirmar si la dirección corresponde a la página que afirma ser, y esa comprobación cabe en los segundos que uno tarda en tocar el enlace.
