Han suplantado mi sitio web para phishing: ¿qué puedo hacer?

¿Tienes razón?

Tres ejes deciden la fuerza de su reclamo. Primero: la copia es sustancial y pretende engañar (logos, textos, formularios). Segundo: el dominio o la URL usada y el registro del servidor permiten identificar al responsable o al menos forzar la retirada por la vía administrativa. Tercero: si hay suplantación de marca registrada o uso indebido de datos de usuarios, añade base para demandar y para pedir medidas cautelares.

El daño no solo es reputacional: si usuarios ingresaron credenciales o datos financieros en el sitio falso, la empresa puede enfrentar reclamaciones de terceros. También es relevante si la copia opera desde servidores en Ecuador o en el extranjero: la cooperación técnica varía según jurisdicción.

Cómo se soluciona

1. Documente la suplantación. Haga capturas de la página falsa, guarde la URL, el HTML y cualquier correo de phishing. Anote la fecha y hora de la detección.
2. Informe a su proveedor de hosting y al registrador del dominio. Solicite suspensión del sitio por violación de derechos y adjunte pruebas de su titularidad y de la suplantación. Muchos proveedores actúan con rapidez ante evidencias claras.
3. Solicite bloqueo de certificados y de cuentas asociadas. Si el atacante usó certificados SSL, solicite su revocación. Si se usaron cuentas de correo o pasarelas de pago, informe a los proveedores para suspenderlas.
4. Notifique a sus clientes afectados. Explíqueles qué ocurrió, pídales que no respondan a correos sospechosos y que cambien contraseñas si ingresaron datos. Ofrezca pasos concretos para mitigar el daño.
5. Presente denuncia ante la Fiscalía y ante la Policía especializada en ciberdelitos. Entregue la documentación técnica y pida medidas para identificar al responsable y ordenar el cierre del servicio.
6. Considere remediación técnica en su propio sitio. Asegure dominios alternativos, active HSTS, revise formularios y mejore medidas de autenticación para prevenir confusiones futuras.
7. Coordinación internacional. Si el dominio está en un proveedor extranjero, su retirada puede requerir cooperación internacional; su abogado puede tramitar órdenes judiciales o solicitudes de ayuda a través de canales adecuados.

Acciones que puede iniciar sin abogado: documentar, pedir suspensión al hosting, notificar a clientes y poner la denuncia. Contrate abogado si la suplantación implica robo de datos sensibles, pérdidas económicas o si el proveedor se niega a colaborar.

Qué puede pasar

1) Retirada rápida por el proveedor. Muchas veces la prueba de titularidad y la denuncia técnica hacen que el hosting retire el sitio y el registrador bloquee el dominio. Esto detiene el phishing con rapidez y minimiza el daño.

2) Acuerdo o rectificación. Si el responsable es local o conocido, puede negociarse el cese inmediato y la entrega de información sobre víctimas. Un acuerdo reduce coste y tiempo frente a un juicio.

3) Juicio y sanciones. Si se determina autoría y hay daños, la vía penal y civil puede sancionar al responsable y ordenar medidas de reparación. Si el responsable es anónimo o el servidor está en otra jurisdicción, la ejecución puede ser más compleja.

Y si gana, ¿cobro? La sentencia ordena reparación, pero cobrar depende de la capacidad patrimonial del autor. En casos de operadores o intermediarios que no cooperan, la sentencia puede servir para obtener bloqueo adicional.

Errores que arruinan el caso

• No conservar capturas y HTML de la página falsa: pierde prueba sobre el engaño.
• Ignorar señales de que clientes fueron afectados: empeora la responsabilidad comercial.
• Intentar “tomar represalias” digitales por su cuenta: puede derivar en responsabilidad penal.
• No reclamar a su propio proveedor de dominios y hosting: a veces la solución está a un correo de distancia.
• No revisar contratos con proveedores de hosting y registrar: puede perder derechos si no prueba titularidad.