Publicado el 1 noviembre 2026 · Equipo mitza.es
El Black Friday de 2026 es el viernes 27 de noviembre, y el Cyber Monday, el lunes 30. Para una tienda online son días de máxima facturación. Para los estafadores también: la gente compra con prisa, compara precios y desconfía menos de un correo o un anuncio con un descuento llamativo. El INCIBE lo resume en una frase: desconfía de las gangas imposibles. Lo que se cuenta menos es el otro lado, el de la tienda real cuyo nombre se usa para engañar. Esta guía está pensada para ti, que vendes.
Cómo te pueden suplantar
- Webs clon: un sitio que copia tu diseño, tus fotos y tu logotipo, con una dirección casi igual a la tuya (el INCIBE advierte de URLs que cambian solo una letra), para cobrar pedidos que nunca llegarán.
- Correos y mensajes falsos: «tu pedido está retenido», «tu cuenta necesita verificación» o cupones que dirigen a una página que pide datos de tarjeta, enviados como si fueran tuyos.
- Anuncios fraudulentos en redes sociales con tu marca o con descuentos imposibles que llevan a webs falsas.
- Códigos QR falsos pegados sobre carteles, folletos o paquetes. Tienes el detalle en nuestra guía sobre el QRishing.
- Tu propia web comprometida: si alguien inyecta código malicioso en tu página de pago, tus clientes pagarán a la tienda correcta pero los datos de la tarjeta irán a otro sitio. Es el tipo de ataque que se conoce como web skimming.
Qué consecuencias tiene para ti (aunque no sea tu culpa)
El cliente estafado no distingue entre la web falsa y la real: se queja a tu tienda, abre reclamaciones, deja reseñas negativas o pide el reembolso. Aunque no hayas hecho nada mal, pierdes tiempo, reputación y, a veces, ventas. La mejor defensa es que tus clientes sepan reconocerte y que a un estafador le cueste más hacerse pasar por ti.
Proteger tu dominio y tu correo: la base
- Configura SPF, DKIM y DMARC. Son registros DNS que permiten a los servidores de correo comprobar que un mensaje viene de verdad de tu dominio. Con una política DMARC estricta (empezando en modo de vigilancia y subiendo después), los correos que suplanten tu dirección se rechazan o van a spam. Los pasos están en nuestra comparativa de Google Workspace y Microsoft 365.
- Mantén los certificados al día. Un candado caducado en pleno Black Friday asusta al cliente y lo empuja a webs que parecen más «seguras». Mira los cambios de plazo en nuestro artículo sobre los certificados SSL/TLS.
- Controla tu dominio y tu DNS: que el dominio esté a tu nombre, con verificación en dos pasos en el registrador. Lo detallamos en dominio y hosting.
- Valora registrar las variantes obvias de tu dominio (otras extensiones y errores tipográficos frecuentes) si tu marca es conocida.
Blindar el proceso de compra
- Mantén la tienda actualizada (plataforma, plugins y temas) antes de la campaña, no en medio. Los ataques a plugins desactualizados son frecuentes; mira nuestro análisis de una vulnerabilidad crítica de WordPress.
- Usa una pasarela de pago reconocida con autenticación reforzada, de modo que los datos de la tarjeta no pasen por tu servidor. Compáralas en cómo elegir pasarela de pago.
- Limita el acceso al panel de administración: contraseñas largas y únicas, verificación en dos pasos y menos usuarios con permisos de administrador.
- Haz una copia de seguridad antes de la campaña y comprueba que se puede restaurar.
- Vigila cambios en los archivos de tu web, en especial en la página de pago, para detectar scripts que no deberían estar ahí. Es parte de un buen mantenimiento web.
Comunica con claridad cómo eres de verdad
Muchas estafas funcionan porque el cliente no sabe cómo le escribirías tú. Deja por escrito, en la web, en el pie de los correos y en tus perfiles:
- Desde qué dirección de correo y desde qué números te comunicas (y que solo usas tu dominio).
- Que nunca pedirás datos de tarjeta por correo, WhatsApp ni mensaje.
- Cuál es tu dirección web oficial y tus perfiles verificados.
- Cómo contactar contigo si algo no cuadra.
Vigila tu marca durante la campaña
- Busca tu marca y tu dominio en Google y en redes sociales varias veces por semana durante las dos semanas previas.
- Activa alertas con tu nombre comercial.
- Haz una búsqueda inversa de tus imágenes de producto más conocidas para detectar copias.
- Pide a tu equipo de atención que avise si varios clientes mencionan una web, un correo o un anuncio que no reconocen.
Si te suplantan: plan de respuesta
- Documenta: capturas con fecha, direcciones, números de pedido o mensajes recibidos.
- Avisa a tus clientes por tus canales oficiales, con una nota clara y sin alarmismo.
- Pide la retirada de la web falsa al proveedor de alojamiento y al registrador, y denuncia el anuncio en la plataforma donde aparezca.
- Denuncia ante la Policía Nacional o la Guardia Civil, y avisa al INCIBE (017, o por WhatsApp en el 900 116 117).
- Atiende con empatía a quien haya sido estafado y facilítale las pruebas que pueda necesitar para reclamar a su banco.
Qué recomienda el INCIBE al comprador: compártelo con tus clientes
Una forma de ayudarles es difundir los consejos oficiales: comprobar que la tienda tiene dirección con https y un certificado válido, datos de contacto visibles y opiniones; usar métodos de pago con protección (tarjeta, tarjetas virtuales o servicios reconocidos como Bizum, PayPal, Google Pay o Apple Pay); revisar la dirección antes de pagar y guardar los justificantes; y, si hay fraude, llamar al banco para cancelar la tarjeta, reunir pruebas y denunciar.
Y no te olvides del resto de la campaña
La seguridad es una parte; la otra es que la tienda aguante el pico de visitas y de pedidos. Tienes la lista completa en nuestra guía para preparar tu tienda online para el Black Friday, y si estás valorando montar una tienda, mira cuánto cuesta crear una tienda online.
Cómo te ayudamos en Mitza
Preparamos tu tienda antes de la campaña: revisión de seguridad, copias, correo y certificados. Si montas o rediseñas la tienda, consulta nuestro servicio de desarrollo de ecommerce, o cuéntanos tu caso en la página de contacto.