Estafas de dominio por mail: cómo reconocerlas
Las estafas de dominio por mail suelen llegar justo después de un cambio: registraste un dominio, publicaste tu web o actualizaste tus datos. A los pocos días aparece una “factura de renovación” de una empresa que no conocés, una oferta para “agregar tu dominio al índice de Google” o un aviso de que tu cuenta va a ser suspendida si no entrás ya.
No es para alarmarse. La gran mayoría se reconoce en un minuto si sabés qué mirar, y casi ninguna te hace daño si no hacés clic, no pagás y no escribís tu contraseña. Pero algunas están muy bien armadas, así que conviene conocerlas.
Acá van los siete tipos que más vemos, cómo reconocerlos, qué hacer y cómo evitar que alguien mande mails haciéndose pasar por vos.
Por qué te llegan aunque recién arranques
Tener web implica publicar datos: tu mail, tu dominio, tu nombre. Hay programas que los recopilan para mandar avisos en masa. Para defenderte, empezá por saber con quién contrataste el dominio, el hosting y el correo, y qué te cobra cada uno: lo detallamos en cuánto cuesta mantener una página web. Si no lo tenés claro, anotalo hoy.
Los 7 tipos de estafa por mail que más se repiten
1. La falsa factura de renovación
Llega un mail con tu dominio, una fecha de vencimiento y un importe. Parece una factura, pero la manda una empresa con la que nunca contrataste, a veces imitando la marca de un registrador conocido.
Tu dominio lo renovás solo con el registrador donde lo diste de alta. Si es un .uy registrado en nic.com.uy, la renovación se hace desde tu cuenta ahí, no desde el link de un mail. Lo explicamos en la guía del dominio .uy y cómo registrarlo.
2. “Domain slamming”: la renovación que en realidad es una mudanza
Una variante más fina: si pagás y completás el formulario, autorizás el traspaso del dominio a otro registrador. No es nuevo: en 2003, en un caso de la Comisión Federal de Comercio (FTC), un tribunal de Estados Unidos le prohibió a una empresa engañar con “avisos de renovación” que en realidad trasladaban el dominio a otro registrador.
La señal: te piden aprobar una “transferencia”, pasar un “código de autorización” o aceptar condiciones nuevas para lo que creías una simple renovación.
3. “Registro en buscadores” o “agregue su dominio al índice de Google”
Te avisan que tu web “no está registrada en los buscadores” y que, por un pago, la dan de alta en Google, Bing y Yahoo.
No necesitás pagarle a nadie para eso. Google dice en su documentación oficial sobre SEO que nunca acepta dinero para incluir o posicionar sitios en sus resultados y que aparecer en los resultados orgánicos no cuesta nada; también advierte sobre quienes ofrecen un “envío prioritario” a Google.
Si querés avisarle a Google de tu web, lo hacés vos, gratis, desde Google Search Console. Para el mapa alcanza con tu ficha, como contamos en cómo aparecer en Google.
4. La auditoría SEO que nadie pidió y el rediseño “con descuento”
“Revisamos tu sitio y encontramos 37 errores críticos.” Adjuntan un informe genérico y una oferta de SEO o de rediseño con descuento por tiempo limitado.
Google lo advierte en la misma página: desconfiá de las empresas de SEO que te escriben de la nada. El diagnóstico de tu web se lo pedís a alguien que elegiste vos. Y nadie puede garantizar el primer puesto en Google: si alguien te lo promete, ya sabés.
5. “Alguien quiere registrar tu nombre en otra terminación”
Una supuesta empresa de registro de otro país te escribe con apuro: alguien pidió tu nombre en terminaciones como .cn o .asia y, antes de aprobarlo, te consulta “por si sos el titular de la marca”. Tenés pocos días para reservarlas vos.
Nadie está por aprobar nada. Cada terminación se registra por separado, y ningún registrador serio te pide permiso antes de venderle un dominio a otro. Si querés una segunda terminación, la registrás vos, donde elijas y sin apuro.
6. Phishing que imita a Google, a Cloudflare o a tu registrador
El más delicado, porque no busca tu plata: busca tu contraseña. Copia el logo de Google, de Cloudflare o de tu registrador y avisa que tu dominio “va a ser suspendido” o que hubo “un inicio de sesión sospechoso”. El botón lleva a una página que parece la real.
Quien entra a la cuenta de tu dominio puede redirigir tu web y tu correo. La regla: nunca entres a una cuenta desde un link de un mail; escribí vos la dirección y fijate si el aviso aparece adentro. La ayuda de Gmail sobre phishing lo deja claro: Gmail nunca te va a pedir tu contraseña por correo.
7. Mails falsos “desde” tu propia dirección
Te llega un mail que dice venir de tu propia casilla, con una amenaza o un pedido de pago. O un cliente recibe una “factura” tuya con otra cuenta bancaria. No necesariamente alguien entró a tu correo: falsificar el remitente es sencillo si el dominio no tiene configurada la protección.
Cómo reconocer un mail falso en un minuto
| Señal | Qué mirar |
|---|---|
| Remitente | La dirección completa, no solo el nombre. ¿Es el dominio de tu proveedor o uno parecido, con una letra cambiada u otra terminación? |
| Urgencia | ”24 horas”, “último aviso”, “suspensión inmediata”. Un vencimiento real lo ves en tu cuenta, con su fecha. |
| Links | Pasá el mouse por encima sin hacer clic (en el celular, mantené apretado): ¿a dónde lleva realmente? |
| Pedido de pago | ¿Te cobra una empresa con la que contrataste, por el medio de pago de siempre? |
| Pedido de datos | Contraseñas, códigos de verificación o “confirmar tu cuenta” por mail: nunca. |
Qué hacer y qué no
Qué hacer:
- Verificar por fuera del mail: entrá a tu cuenta escribiendo vos la dirección, o consultá a tu proveedor por el canal de siempre.
- Activar la verificación en dos pasos en las cuentas del dominio, del hosting y del correo. ICANN lo recomienda para la cuenta del registrador, si este lo permite, y sugiere pedirle el “bloqueo del registrador” para tu dominio.
- Marcar el mail como phishing o spam, así el filtro aprende.
Qué no hacer:
- Pagar un “aviso” de una empresa que no reconocés.
- Responder, aunque sea para pedir la baja: le confirmás al remitente que tu casilla está activa.
- Abrir adjuntos que no esperabas ni pasarle un código de verificación a nadie, aunque diga ser de soporte.
SPF, DKIM y DMARC en criollo: que nadie use tu dominio
Son tres registros en el DNS de tu dominio: juntos les dicen a los servidores de correo cuáles son tus mails legítimos y qué hacer con los falsos.
| Registro | Qué hace, en criollo |
|---|---|
| SPF | La lista de invitados: qué servidores pueden mandar correo con tu dominio. |
| DKIM | El sello: cada mail sale firmado y quien lo recibe comprueba que es tuyo y que nadie lo tocó. |
| DMARC | La orden al portero: qué hacer con un mail que dice ser tuyo y no pasa los controles. |
SPF y DKIM los explicamos en la guía de correo profesional con dominio propio. DMARC es la pieza que permite frenar la suplantación de tu dominio. Según la guía de Google para configurar DMARC, tiene tres políticas:
- none: no hace nada con los mails que fallan; te permite recibir informes.
- quarantine: los manda a la carpeta de spam del destinatario.
- reject: los rechaza.
Google recomienda arrancar con “none” y endurecer la política de a poco, y pide tener SPF y DKIM funcionando al menos 48 horas antes. Es el camino que seguimos en los proyectos que hacemos: “quarantine” cuando confirmamos que los mails legítimos pasan, “reject” cuando no hay sorpresas.
Desde febrero de 2024, Gmail exige DMARC a quienes mandan más de 5.000 mensajes por día a cuentas personales, un volumen al que pocas pymes llegan.
Ojo: DMARC protege tu dominio exacto. No impide que alguien registre uno parecido (tunegoc1o.uy) y mande mails desde ahí. Para eso, mirá siempre la dirección completa del remitente y avisales a tus clientes que nunca cambiás la cuenta bancaria por mail.
Si ya hiciste clic, escribiste la contraseña o pagaste
Pasa. Movete rápido y en este orden:
- Cambiá la contraseña desde la página oficial, y en cualquier otra cuenta donde usaras la misma.
- Activá la verificación en dos pasos y cerrá las sesiones abiertas.
- Avisale a tu proveedor: puede revisar cambios en el DNS, frenar una transferencia y decirte si alguien tocó algo.
- Si pagaste con tarjeta, comunicate con el emisor para desconocer el cargo.
- Reportalo. El CERTuy recibe reportes de incidentes también de organizaciones privadas, y en esa página están los datos de Cibercrimen de la Policía Nacional para hacer la denuncia.
Preguntas frecuentes
¿Hay que pagar el “registro en buscadores” que ofrecen por mail?
No. Google aclara en su documentación oficial que nunca acepta dinero para incluir o posicionar sitios en sus resultados y que aparecer en los orgánicos no cuesta nada. Si querés avisarle de tu web, lo hacés vos, gratis, desde Google Search Console. Un mail que te cobra por “registrar tu dominio en Google, Bing y Yahoo” te vende algo que no necesitás.
¿Cómo sé si una factura de renovación de dominio es real?
Compará quién la manda con quién te registró el dominio. Después entrá a tu cuenta en el registrador escribiendo vos la dirección, sin usar el link del mail, y mirá la fecha de vencimiento real. Si el mail viene de otra empresa o la fecha no coincide, no es tuya. Ante la duda, consultá a tu proveedor.
¿Qué hago si recibo un mail falso desde mi propia dirección?
No respondas ni pagues: lo más común es que el remitente esté falsificado y nadie haya entrado a tu casilla. Igual cambiá la contraseña y activá la verificación en dos pasos. Después pedile a quien administra tu dominio que revise SPF, DKIM y DMARC: bien configurados, permiten frenar los mails que usan tu dominio sin permiso.
¿DMARC sirve para un negocio chico?
Sí. Protege a tus clientes de recibir mails falsos en tu nombre, como una factura con otra cuenta bancaria, y ayuda a que tus mails legítimos lleguen a la bandeja de entrada. Se configura una vez en el DNS y se ajusta con el tiempo: Google recomienda empezar con la política “none” y pasar después a “quarantine” o “reject”.
En nuestros planes, el dominio, la web y las cuentas quedan a tu nombre desde el primer día y no hay mensualidad obligatoria, así que siempre sabés quién te puede cobrar y por qué. Si querés arrancar con todo ordenado, mirá los planes publicados o escribinos por WhatsApp.